REA, abreviação de "Reverse Engineer Anything" (Engenharia Reversa de Qualquer Coisa), conecta agentes de codificação com inteligência artificial a ferramentas de engenharia reversa, permitindo análise aprofundada de binários nativos, aplicativos e comportamento em tempo de execução.
Este projeto de código aberto oferece suporte a Ghidra, Hopper e IDA como provedores nativos de análise. Ele se integra ao Claude Code e a outros agentes por meio do Protocolo de Contexto de Modelo (MCP, na sigla em inglês).
Nova ferramenta de engenharia reversa com IA
Em vez de substituir desmontadores já estabelecidos, o REA oferece uma interface que permite aos agentes inspecionar softwares, rastrear códigos relevantes e solicitar evidências adicionais.
Os resultados de Morluto incluem artefatos de apoio e limitações, permitindo que o agente explique comportamentos observados ou desenvolva e teste uma implementação reconstruída sem acesso ao código-fonte.
Para executáveis e bibliotecas nativos, o REA expõe pseudocódigo, instruções de assembly, strings, símbolos, chamadas e referências. A inspeção nativa avançada requer uma instalação configurada de Hopper, Ghidra ou IDA.
As capacidades de cada provedor e os ambientes host compatíveis podem variar, e o suporte ao Ghidra no Windows é atualmente experimental. Além disso, o Ghidra oferece suporte a investigações envolvendo programas DOS de 16 bits.
Fluxos de trabalho em JavaScript e Electron recuperam módulos, importações, mapas de origem (source maps), rotas, relações de comunicação entre processos e conexões nativas de extensões.
Essa funcionalidade permite que investigadores rastreiem o comportamento através dos limites dos processos de renderização, preload e principal. A inspeção estática de JavaScript não requer um descompilador nativo.
Ao mesmo tempo, a análise de .NET fornece metadados, instruções da Linguagem Intermediária Comum (CIL, na sigla em inglês), dependências nativas declaradas e comparações de build.
O conjunto mais amplo de ferramentas abrange APKs do Android, firmwares, artefatos de WebAssembly, capturas de rede salvas e travamentos registrados no Linux.
Cada fluxo de trabalho tem pré-requisitos específicos: a descompilação de Android requer JADX e um JDK (Kit de Desenvolvimento Java) completo; a extração de firmware depende de Binwalk ou Unblob em ambiente Linux; e determinados diagnósticos binários exigem pwntools fornecidos pelo usuário. A inspeção de navegadores requer um navegador da família Chrome.
Os usuários podem configurar a integração executando npx rea-agents setup. Esse processo de configuração registra o servidor MCP do REA, instala instruções de investigação compatíveis e faz backup das configurações existentes.
Os usuários são convidados a revisar e aprovar as alterações propostas antes de reiniciar seu agente. Os clientes compatíveis incluem Claude Code, Codex, Cursor, Gemini CLI e Grok Build, com a opção de outros clientes compatíveis utilizarem o registro manual.
Capacidades de análise compatíveis com o REA
O REA requer npm e Node.js nas versões 22.x (a partir da 22.19), 24.x (a partir da 24.11) ou 26 e posteriores.
Fluxos de trabalho no terminal utilizam os mesmos mecanismos de análise das investigações conduzidas por agentes, incluindo um comando que inspeciona diretórios de aplicativos JavaScript extraídos ou arquivos ASAR do Electron e retorna resultados estruturados em JSON.
Embora o REA analise alvos localmente, ele não garante que os resultados permaneçam totalmente offline; os agentes recebem os resultados das ferramentas e seus provedores de modelo aplicam políticas de dados separadas.
A inspeção estática de JavaScript e .NET não executa aplicativos. No entanto, a captura em tempo de execução pode iniciar alvos ou interagir com eles usando as permissões do usuário atual.
O projeto relata a reconstrução do jogo DX-Ball, que passou em 3.205 casos originais de x86 e reproduziu 63 bytes de funções compiladas.
Essa conquista demonstra uma reconstrução validada, e não acurácia em todos os alvos. O REA é licenciado sob a licença MIT e voltado para pesquisas autorizadas e legais.
Interrompa ameaças cibernéticas antes do impacto com MTTR (Tempo Médio de Resolução) 21 minutos mais rápido. Integre o Sandbox da ANYRUN ao seu SOC (Centro de Operações de Segurança).
