El software solía esconderse. Compilado, minificado, sin símbolos, entregado como bloques opacos que solo podías tantear desde fuera. Esa era terminó en silencio en abril de 2026 y, para octubre, todo el mundo del desarrollo se había dado cuenta.
REA, o Reverse Engineer Anything, se ha convertido en uno de los repositorios de crecimiento más rápido que GitHub haya albergado: unas 262.000 estrellas y 66.000 bifurcaciones, todo en un proyecto con licencia MIT que hace ocho meses no existía. No es una filtración de base de datos ni un pánico por un día cero. Es más grande y más raro. REA le entrega a tu agente de programación con IA las llaves para inspeccionar cualquier pieza de software, hasta el ensamblador puro, y explicar cómo funciona de verdad.
Si construyes, compras o defiendes software, esto cambia tus cuentas. Esto es lo que REA realmente es, lo que puede y no puede hacer, y lo que significa para tu negocio.
Qué es REA exactamente
REA es una CLI y un servidor MCP. Esa segunda parte es la importante. El Model Context Protocol es el estándar abierto que permite que agentes como Claude Code, Codex, Cursor, Gemini CLI y Grok Build llamen a herramientas externas. REA se enchufa en esa ranura y le da a tu agente un kit completo de ingeniería inversa.
Apunta a una app, un binario o un sitio web y haz una pregunta en lenguaje normal. ¿Por qué se acelera el dinosaurio? ¿Cómo genera este autenticador mi código de acceso? REA devuelve las pruebas: pseudocódigo, ensamblador, cadenas, símbolos, grafos de llamadas y observaciones en tiempo de ejecución. Tu agente lee esas pruebas, explica el comportamiento y después puede reconstruir la función para tu propio proyecto.
Todo se ejecuta en local. Nada sale hacia la nube de otra persona. Y, algo clave, REA devuelve sus pruebas y sus limitaciones lado a lado. Te dice qué encontró y dónde la conclusión empieza a cojear.
Los objetivos que puede abrir
Aquí el alcance se vuelve realmente amplio. REA no es un descompilador de un solo truco. Su documentación oficial cubre:
- Binarios nativos: pseudocódigo, ensamblador, cadenas, símbolos, llamadas y referencias, con Hopper, Ghidra o IDA
- Aplicaciones JavaScript y Electron: módulos, importaciones, mapas de código, rutas y fronteras IPC
- Ensamblados .NET: metadatos, instrucciones CIL y dependencias nativas
- Sitios web: estructura de la página, scripts y observaciones de red desde una sesión de navegador real
- APK de Android: declaraciones del manifiesto, clases y métodos descompilados
- Binarios de Go y Rust: listas de módulos embebidos, nombres de crates, versiones y aristas de dependencia
- Firmware, WebAssembly, bytecode EVM, bases de datos SQLite, apps de Flutter y capturas de paquetes
Las guías, los pasos de instalación y los casos de estudio están en el sitio del proyecto, rea.tools. El sitio repasa investigaciones reales: por qué la Calculadora de Windows convierte 200 + 10% en 220 (toma un porcentaje del primer número después de un más), cómo copia Notion los datos de bloques enriquecidos al portapapeles, o cómo un juego de 1996 calculaba el paneo de sonido izquierda y derecha. Cada afirmación enlaza a las instrucciones reales y se contrasta con el código público.
Lo que no puede hacer (lee esta parte dos veces)
REA no recupera el código fuente original. Reconstruye lógica y comportamiento. Esa distinción es la diferencia entre una herramienta de ingeniería útil y el pensamiento mágico, y quien prometa lo contrario te está vendiendo una historia, no una capacidad.
Tampoco está libre de fricción. El análisis nativo necesita un motor real instalado: Hopper, Ghidra o IDA. Algunos objetivos requieren herramientas extra, como JADX para Android o TShark para paquetes. El proyecto avanza rápido, así que actualizarás a menudo.
Después está el ruido. Un repositorio tan popular atrae imitaciones y estafas. Hay repositorios copia que reutilizan el nombre y copian el README, y ya han aparecido descargas falsas de REA. Las fuentes legítimas son pocas: github.com/morluto/rea, rea.tools y el paquete rea-agents en npm. Cualquier otra cosa merece sospecha.
La parte que todo dueño de negocio debe escuchar
Esta es la verdad incómoda que REA acaba de dejar al descubierto: si tu aplicación entrega lógica a la máquina del usuario, esa lógica ya no es un secreto.
No es difícil de encontrar. No está lo bastante ofuscada. Es legible. La minificación, el empaquetado y la eliminación de símbolos frenan a una persona. Apenas frenan a un agente de IA que puede seguir un grafo de llamadas por miles de instrucciones en segundos.
Eso no significa que tu producto valga de repente nada. Significa que tu foso tiene que moverse. Las partes defendibles del software moderno nunca estuvieron de verdad en el cliente:
- Guarda lo valioso en el servidor. Reglas de precios, algoritmos de puntuación, lógica antifraude y datos propietarios pertenecen a tu API, no compilados en una app que alguien puede desempaquetar.
- Nunca envíes secretos. Claves de API, tokens y credenciales en el código del cliente siempre fueron mala idea. REA convirtió "alguien los encontrará" en una certeza.
- Compite por experiencia y ejecución, no por secreto. Una gran UX, fiabilidad, soporte, integraciones y velocidad de iteración son mucho más difíciles de clonar que una función.
- Aísla todo lo que no sea de confianza. Una herramienta de ingeniería inversa inspecciona código hostil por naturaleza. Ejecútala en una máquina virtual aislada, nunca en una que guarde tus datos reales.
- Conoce la línea legal. Auditorías de seguridad, interoperabilidad, aprendizaje y recuperar tu propio código perdido suelen ser legítimos. Clonar el producto de un competidor o saltarse un DRM no lo es, y la herramienta no blanquea la intención.
La conclusión
REA es la señal más clara hasta ahora de que la transparencia del software ya es lo normal. Los agentes de tus usuarios pueden leer tu app. Los de tus competidores también. La pregunta no es si tu lógica es visible. Es si has construido algo que sobreviva a ser visto.
Para los desarrolladores, eso libera: estudia cómo funcionan las mejores apps y construye algo mejor. Para las empresas, es una llamada a auditar lo que de verdad estás entregando. Abre el paquete del cliente y pregúntate qué encontrarías si un agente curioso empezara a tirar del hilo.
Porque ahora mismo, el agente de alguien ya está tirando.
Fuentes: el proyecto REA (github.com/morluto/rea y rea.tools), el análisis de Nate's Newsletter sobre REA y la cobertura de Geeky-Gadgets y las guías de la comunidad REA.