REA décompile tout sans code source : le repo qui explose GitHub en 48 heures
🔎 Un agent qui ouvre les boîtes noires du logiciel
Le 7 octobre 2026, un développeur signant « morluto » publie REA — Reverse Engineer Anything. Un serveur MCP open source doublé d'une CLI qui donne à n'importe quel agent de code un pouvoir inédit : décompiler des binaires natifs, des apps Electron, des assemblages .NET, des APK Android, voire des sites web — puis expliquer comment une fonctionnalité fonctionne sans jamais voir le code original.
Le lendemain, le repo cumule environ 2 956 étoiles en 24 heures et décroche la première place du GitHub trending. En quelques jours, les relevés passent de 10 400 à plus de 14 000 étoiles, avec la tête des repos TypeScript et 32 releases publiées (StartupFortune, dev.to).
Pourquoi maintenant ? Parce que la dernière brique manquante des agents vient de tomber. Ils savent écrire du code depuis deux ans. Ils savent désormais lire n'importe quel logiciel, même fermé. Et la même brique technique sert à comprendre un logiciel comme à l'attaquer — c'est tout le malaise de cette semaine, en miroir du projet ARTEX partagé en parallèle.
Pour suivre ce genre de lancements au fil de l'eau, notre veille des nouveaux outils IA est mise à jour en continu.
L'essentiel
- REA = serveur MCP + CLI open source, shippé le 7 octobre 2026, #1 du GitHub trending dès le premier jour (~2 956 étoiles en 24 h, 14 000+ en quelques jours).
- Il connecte votre agent (Claude Code, Cursor, Codex, Gemini CLI, Windsurf, Devin, Copilot CLI…) à 41 outils d'inspection binaire et 14 workflows d'investigation guidés.
- Boucle en trois étapes : décompiler → tracer → recréer la logique dans votre stack, sans jamais voir le code original.
- Usage légitime : audit de dépendances closed-source, reprise de legacy binaire, interopérabilité.
- Usage limite : veille concurrentielle, protection du code propriétaire — une app Electron s'est faite rétro-ingénierer en 10 minutes.
- Limites documentées : binaires trop gros pour le contexte, outils Windows sans mode headless, pas de collaboration temps réel.
Outils recommandés
| Outil | Usage principal | Prix (octobre 2026) | Idéal pour |
|---|---|---|---|
| REA | Décompilation et investigation pilotée par agent | Gratuit (open source) | Devs, auditeurs, reverse engineers |
| Claude Code | Agent hôte pour piloter REA en terminal | Inclus Pro/Max (dès 20 $/mois, vérifiez sur anthropic.com) | Investigations longues sur gros modèles |
| Cursor | Agent hôte MCP directement dans l'IDE | ~20 $/mois (vérifiez sur cursor.com) | Investigation intégrée au quotidien |
| Ghidra | Décompilation de binaires natifs en headless | Gratuit (open source) | Binaires natifs, firmware léger |
| JADX | Décompilation d'APK Android | Gratuit (open source) | Apps Android |
| Frida | Instrumentation dynamique | Gratuit (open source) | Tracing runtime |
| radare2 | Désassemblage bas niveau | Gratuit (open source) | Analyse fine, formats exotiques |
Pour choisir l'agent hôte qui pilotera REA, voyez notre comparatif des meilleurs outils IA pour le code.
REA, c'est quoi exactement ? Un MCP qui transforme votre agent en rétro-ingénieur
REA est un serveur MCP — le standard de connexion entre agents et outils — qui branche votre agent de code sur l'arsenal complet de la rétro-ingénierie professionnelle. Vous lui donnez un binaire, une app Electron, un APK ou une URL ; il investigue la fonctionnalité, explique comment elle marche, montre ses preuves, puis construit une version adaptée à votre stack et à vos exigences (mcp.market).
L'installation tient en une ligne (repo officiel) :
npx rea-agents@latest setup
Le serveur tourne sur Node.js 22+ et expose un catalogue d'outils organisé en quatre familles (dev.to) :
- Analyse binaire : parsing de format, énumération de sections, extraction de symboles.
- Décompilateurs : Ghidra headless, bridge Hopper.
- Désassembleurs : objdump, radare2, Binary Ninja via plugin.
- Traçage runtime : dtrace, strace, frida pour l'instrumentation dynamique.
Le rythme de développement est ahurissant : 32 releases en trois jours, jusqu'à la v6.1.0 le 9 octobre. La v4.1, sortie quelques heures après le lancement, a déjà ajouté l'analyse d'APK via JADX, l'analyse de firmware via Binwalk et Unblob, et IDA Pro comme backend d'analyse — les mêmes outils que les ingénieurs en rétro-ingénierie professionnels, avec un agent aux commandes.
Deux détails font la différence. D'abord, le serveur MCP maintient l'état d'investigation au-delà des frontières d'outils : votre agent passe de Ghidra à frida sans perdre le fil. C'est le vrai apport du projet selon l'analyse de dev.to — pas le frontend, mais cette mémoire d'investigation persistante. Ensuite, l'injection d'identifiants OAuth permet l'inspection au niveau API, via des wrappers CLI Stripe ou GitHub, sans jamais exposer les tokens à l'agent.
Cibles annoncées : binaires natifs, apps JavaScript/Electron (modules, imports, source maps, routes, IPC, native add-ons), assemblages .NET, APK Android (ByteIota).
La boucle en trois étapes : décompiler, tracer, recréer
REA suit un pipeline décrit dans le README : décompiler, tracer, recréer. C'est ce triptyque qui le distingue d'un simple décompilateur — le dernier mot n'est pas « comprendre », c'est « reconstruire ».
Étape 1 — Décompiler. L'agent récupère du code lisible et des indices de nommage depuis le binaire. Ghidra headless produit du pseudo-C, les symboles et les imports sont cartographiés.
Étape 2 — Tracer. L'agent suit l'exécution jusqu'à isoler la fonctionnalité qui vous intéresse. C'est ici que dtrace, strace et frida entrent en jeu : observation dynamique, appels réseau, comportement réel — pas seulement du code mort sur une page.
Étape 3 — Recréer. L'agent réimplémente la logique dans votre stack, avec vos conventions, vos tests, vos exigences.
Exemple concret : vous utilisez un outil SaaS dont la fonction d'export CSV est lente et opaque. Vous pointez REA dessus. L'agent décompile, trace le chemin d'exécution, découvre que l'export passe par un worker séquentiel non parallélisé, et vous livre une réimplémentation propre. Ce qui relevait de semaines d'ingénierie inverse devient un après-midi d'investigation assistée.
Un décompilateur classique vous rend du pseudo-C et vous laisse seul face à l'écran. REA ajoute une couche agentique qui formule des hypothèses, les teste, trace, valide et documente. C'est la différence entre une loupe et un collègue.
Pourquoi ça explose : MCP est devenu l'infrastructure des agents
REA n'est pas un feu de paille isolé : c'est le symptôme d'un basculement. MCP est devenu la couche d'intégration standard des agents, et le trending GitHub d'octobre 2026 (github.com/trending) en est la photographie en temps réel.
On a déjà analysé comment la couche harness devient une infrastructure, avec deux des trois repos trending de GitHub. REA s'inscrit exactement dans cette dynamique : la valeur ne se situe plus dans le modèle, mais dans les outils que le modèle peut piloter.
Trois signaux de la même semaine le confirment :
- OpenCode : 8 millions de devs, 172K étoiles — le coding agent open source qui dépasse Claude Code et Codex : les coding agents open source passent à l'échelle industrielle.
- Prime Agent : le repo n°1 de GitHub (17 500 étoiles) qui rend les agents de code auto-améliorants — et auditables : la confiance dans ce que fait l'agent devient un produit en soi.
- MiroFish : un undergrad construit 700 000 agents IA en 10 jours — ce projet open source prédit l'avenir et explose sur GitHub : l'orchestration massive n'est plus réservée aux labs.
Dans ce contexte, REA est l'étape logique. Les agents savaient écrire du code ; il leur manquait de lire celui des autres. Et comme REA est un serveur MCP, vous branchez le modèle de votre choix — Claude Opus 4.7 dans Claude Code, GPT-5.5 dans Codex, Gemini 3.1 Pro dans Gemini CLI. Le coût marginal d'une nouvelle capacité d'agent tend vers zéro. C'est exactement ce qui fait exploser ce type de repo en 48 heures.
Audit de dépendances closed-source : le cas d'usage sérieux
Le premier bénéfice pour un développeur professionnel, ce n'est pas l'espionnage : c'est l'audit. Combien de fois avez-vous intégré un SDK propriétaire, un binaire vendor ou une lib sans source publiée, sans savoir ce qu'il fait vraiment ?
Telemetry non documentée, appels réseau inattendus, collecte d'identifiants : les outils classiques — analyse statique de surface, sandbox réseau — donnent des indices. REA donne des réponses, avec la chaîne de preuve à l'appui. L'agent montre comment il est arrivé à ses conclusions, ce qui change tout dans un contexte d'audit.
Deux scénarios concrets où REA change la donne :
Le SDK abandonné. Le mainteneur a disparu, la source n'a jamais été publiée, et votre produit en dépend. Avec REA, vous cartographiez le comportement, isolez la fonctionnalité critique, puis la recréez en interne. La troisième étape de la boucle existe précisément pour ça.
Le legacy binaire inconnu. Ce vieil assemblage .NET livré avec le SI, que personne n'ose toucher de peur de casser quelque chose. Décompilation, traçage, rapport documenté : vous savez enfin ce qu'il fait, et vous pouvez le remplacer en connaissance de cause.
Point de méthode : si vous utilisez un agent pour auditer, l'agent lui-même doit être auditable. C'est tout l'enjeu de projets comme Prime Agent, qui rendent le raisonnement de l'agent inspectable. Un audit mené par une boîte noire n'est pas un audit — c'est un pari.
Veille concurrentielle : la ligne jaune
Oui, REA rend la rétro-ingénierie d'un produit concurrent accessible à tous. Non, ce n'est ni légal ni éthique dans la plupart des cas — et il faut le dire clairement.
Techniquement, le jeu change. Comprendre comment un concurrent implémente une fonctionnalité demandait hier une équipe spécialisée et des semaines. Ça devient une session d'agent. Le clean-room reverse engineering — s'inspirer des mécanismes sans copier le code — existe depuis des décennies, mais son coût vient de s'effondrer.
Le cadre légal, en vrac (ceci n'est pas un avis juridique) :
- L'UE autorise la décompilation pour l'interopérabilité dans certains cas (directive 2009/24/CE sur la protection juridique des programmes d'ordinateur).
- Recopier du code décompilé viole le droit d'auteur, partout, point.
- Les CGU des produits interdisent souvent la rétro-ingénierie, avec une force variable selon les juridictions.
Ma position : utilisez REA pour comprendre des mécanismes — architectures, patterns, protocoles — jamais pour recopier du code ou des assets. La boucle « recréer dans votre stack » est légitime quand elle porte sur des idées et des implémentations fonctionnelles, pas sur du copier-coller déguisé en réécriture.
Et le miroir de la même semaine le rappelle : la même brique technique sert à comprendre un logiciel fermé et à l'attaquer, comme le montre le projet ARTEX partagé en parallèle. La polémique autour des capacités de hacking des modèles, relancée par l'accusation d'Anthropic contre GLM-5.3 montre que la question de ce qu'on autorise les agents à faire est devenue politique, pas seulement technique.
Votre code propriétaire n'est plus protégé
Si votre moat repose sur « personne ne peut voir mon code », ce moat vient de mourir. Un développeur Electron l'a constaté à ses dépens : son app rétro-ingénierée en 10 minutes par une IA (Reddit, r/electronjs).
Les apps Electron sont particulièrement exposées. Le JavaScript packagé reste du JavaScript, les source maps traînent parfois dans l'archive, les routes et les canaux IPC se cartographient, les native add-ons se décompilent. REA cible d'ailleurs explicitement cette surface : modules, imports, source maps, routes, IPC (GitHub).
Trois conséquences immédiates :
La protection par l'obscurité est morte. Minification, obfuscation, packaging asar : tout cela ralentissait un humain motivé. Ça ne ralentit plus un agent équipé de 41 outils d'inspection.
Le vrai moat se déplace. Service, données, distribution, effet de réseau : si votre valeur vit côté serveur, un client décompilé ne vous tue pas. Si elle vit dans le client, vous avez un problème dès aujourd'hui.
La détection devient une ligne de défense. L'inspection au niveau API de REA passe par vos endpoints — via les wrappers CLI Stripe ou GitHub. Vos logs, vos rate limits et vos alertes d'anomalie sont désormais votre radar.
Action concrète : déplacez la logique sensible côté serveur, et concevez chaque client comme du code public dès la première ligne. C'était déjà une règle de sécurité. C'est devenu une règle de survie commerciale.
Ce que REA ne fait pas (encore)
REA a des limites, documentées par ses propres utilisateurs — mieux vaut les connaître avant d'investir une journée d'investigation (dev.to).
Les binaires trop gros pour le contexte. Un firmware multi-gigaoctets ne tient pas en mémoire de contexte. L'agent perd le fil sur les très grosses cibles. La parade : découper par sections et fonctionnalités, et laisser le serveur MCP maintenir l'état entre les passes.
Les outils Windows sans mode headless. x64dbg et IDA Pro ne se pilotent pas en headless, ce qui limite l'automatisation sur ces backends — même si IDA Pro est supporté comme backend d'analyse depuis la v4.1.
Pas de collaboration temps réel. Une investigation = un agent. Pas de session multi-développeurs sur la même trace, pour l'instant.
La qualité du modèle hôte fait tout. L'agent pilote, mais le LLM raisonne. Sur un modèle faible, l'investigation dérive vite et fabrique des conclusions plausibles mais fausses. Pour les cibles complexes, restez sur le haut du classement agentic — GPT-5.5 (98.2), Gemini 3 Pro Deep Think (95.4), Claude Opus 4.7 (94.3) — voir notre comparatif des meilleurs LLM pour coder. Pour du tracing simple, Claude Sonnet 4.6 (81.4) ou GPT-5.3 Codex (80) suffisent largement.
❌ Erreurs courantes
Erreur 1 : pointer REA sur une cible de plusieurs gigaoctets
Le contexte de l'agent n'est pas extensible à l'infini, et l'investigation dérive sur les grosses cibles. Solution : découpez par sections et modules, investiguez une fonctionnalité à la fois, et laissez le serveur MCP maintenir l'état entre les étapes.
Erreur 2 : recopier le code décompilé tel quel
C'est le moyen le plus rapide de violer un droit d'auteur et d'hériter d'un code illisible, non maintenable et potentiellement troué. Solution : utilisez la boucle « recréer » — comprenez la logique, réimplémentez-la dans votre stack avec vos conventions et vos tests.
Erreur 3 : économiser sur le modèle hôte
La rétro-ingénierie est une tâche agentic difficile ; un modèle moyen dérive et fabrique des conclusions plausibles mais fausses. Solution : réservez les cibles complexes aux modèles en tête du classement agentic, gardez les modèles rapides pour le tracing simple.
Erreur 4 : croire que l'obfuscation protège encore
Le retour de terrain Reddit est sans appel : 10 minutes pour une app Electron packagée. Solution : traitez le client comme du code public dès la conception, et mettez la logique sensible côté serveur.
Erreur 5 : laisser l'agent investiguer sans supervision
14 workflows guidés ne remplacent pas le jugement humain, surtout sur des cibles tierces. Solution : validez chaque étape, exigez les preuves — REA les montre — et documentez les conclusions avant d'agir dessus.
❓ Questions fréquentes
REA est-il gratuit ?
Oui : le projet est open source, en CLI et serveur MCP. Vous ne payez que les tokens du modèle hôte, et les sessions d'investigation sur de grosses cibles consomment beaucoup de contexte. Prévoyez un budget tokens conséquent pour un audit sérieux.
Quels agents de code sont compatibles ?
12 agents majeurs via MCP : Claude Code, Cursor, Codex, Gemini CLI, Windsurf, Devin, GitHub Copilot CLI et d'autres. Si votre agent parle MCP, il peut piloter les 41 outils d'inspection binaire et les 14 workflows d'investigation guidés de REA.
Est-ce légal de décompiler un logiciel commercial ?
Cela dépend de la juridiction et de l'usage. L'UE autorise la décompilation pour l'interopérabilité (directive 2009/24/CE) ; les CGU l'interdisent souvent ; recopier le code décompilé viole le droit d'auteur partout. Consultez un juriste pour tout usage professionnel.
REA remplace-t-il Ghidra ou IDA Pro ?
Non, il les orchestre. REA pilote Ghidra headless, radare2, frida et d'autres via MCP, et supporte IDA Pro comme backend d'analyse depuis la v4.1. Les professionnels gardent leurs outils ; REA ajoute la couche agentique qui enchaîne les étapes.
Quel modèle choisir pour piloter REA ?
Les modèles en tête du classement agentic : GPT-5.5 (98.2), Gemini 3 Pro Deep Think (95.4) et Claude Opus 4.7 (94.3). Sur des cibles simples, un modèle intermédiaire comme Claude Sonnet 4.6 (81.4) suffit et coûte nettement moins cher en tokens.
Comment protéger mon app Electron contre ce type d'outil ?
Impossible d'empêcher la décompilation ; vous pouvez seulement réduire la surface d'impact. Déplacez la logique sensible côté serveur, ne stockez rien de critique dans le client, et surveillez vos endpoints API — c'est par là que passe l'inspection de REA.
✅ Conclusion
En 48 heures, REA est passé de repo inconnu à numéro un du GitHub trending — et a rendu la rétro-ingénierie aussi accessible qu'une session de chat. Testez-le sur une dépendance fermée que vous subissez depuis des mois, et choisissez l'agent hôte adapté dans notre sélection des meilleurs outils IA pour le code.