REA (por Reverse Engineer Anything, "hacele ingeniería inversa a cualquier cosa") es un proyecto de código abierto publicado en abril de 2026 que en pocos meses superó las 200.000 estrellas en GitHub. Su propuesta se explica en una línea: ves una función que te gusta en una app, le pedís a tu agente de IA que la investigue y REA le da las herramientas para entender cómo funciona, aunque no tengas acceso a su código fuente.
REA: el repositorio de GitHub que le enseña a la IA a desarmar cualquier app
Jorge Marfil lo presenta en su canal: "El repositorio que más rápido sube en GitHub da un poco de miedo". Abajo te contamos qué hace y por qué importa si tenés un sitio, una app o un sistema propio.
Qué es REA y cómo funciona
REA es un servidor MCP (Model Context Protocol), el estándar con el que los agentes de IA se conectan a herramientas externas. Se instala con un solo comando (npx rea-agents setup) y funciona con Claude Code, Codex, Cursor, Gemini CLI y otros agentes. El circuito es así:
- Vos preguntás: por ejemplo, "entendé cómo funciona la búsqueda en esta app, mostrame la evidencia y armá algo parecido para mi proyecto".
- REA inspecciona: usa decompiladores como Hopper, Ghidra o IDA, o analiza directamente el JavaScript, el sitio o el paquete según el caso.
- Devuelve evidencia: cada conclusión viene con el código, las referencias y lo que todavía no se sabe.
- El agente sigue: con esos hallazgos explica el comportamiento, o escribe y prueba una implementación propia.
El análisis corre en tu computadora: REA no sube la app a ningún servidor. Eso sí, el agente recibe los resultados, y el proveedor del modelo de IA tiene su propia política de datos.
Qué puede analizar
Programas nativos
Pseudocódigo y ensamblador
Strings, símbolos, llamadas y referencias de un ejecutable, con Hopper, Ghidra o IDA como motor.
Apps JavaScript y Electron
Módulos, rutas e IPC
Muchas apps de escritorio están hechas con Electron. REA reconstruye sus módulos, imports y la comunicación entre partes, sin ejecutarlas.
Sitios web
Estructura, scripts y red
Observa qué carga una página, qué pedidos hace al servidor y qué datos viajan en cada uno.
Android
APK por dentro
Manifiesto, clases, métodos decompilados y recursos de una app de Android.
La lista sigue: ensamblados .NET, binarios de Go y Rust, bases SQLite, firmware, capturas de tráfico de red y más. Cada tipo de análisis tiene sus requisitos, que el proyecto documenta en detalle.
Los casos que muestra el proyecto
- DX-Ball: siguieron el sonido del juego hasta la función que calcula el paneo según la posición y la reconstruyeron en C. La versión nueva pasa 3.205 casos de prueba contra el original y reproduce exactamente los 63 bytes de la función compilada.
- Notion: rastrearon cómo la app de escritorio copia y pega contenido enriquecido, desde la interfaz hasta el proceso principal de Electron.
- Touhou 4 (PC-98): recuperaron el cálculo de los anillos de balas de un juego de DOS de 16 bits y lo compararon con lo que generaba el compilador de la época.
Por qué "da un poco de miedo"
La ingeniería inversa existe hace décadas, pero siempre fue trabajo de especialistas, con semanas de dedicación. Lo que cambia con REA es la escala: hoy cualquiera con un agente de IA puede encararla en una tarde. Para quien construye software, la consecuencia es directa: todo lo que se le entrega al usuario (el JavaScript de tu sitio, la app instalada, el APK) se puede leer y entender.
Dato clave: si una clave de API, una contraseña o una regla de precios vive en el código que llega al navegador o al celular, hay que asumir que alguien la puede encontrar. Siempre fue así; herramientas como REA lo vuelven mucho más fácil.
Qué conviene revisar en tu sitio o sistema
- Claves fuera del frontend: los tokens de pago, de mail o de bases de datos tienen que vivir en el servidor, nunca en el código que se descarga el usuario.
- Reglas validadas en el servidor: precios, descuentos, roles y permisos. Si solo se controlan en pantalla, se pueden saltear.
- APIs que no muestren de más: que cada pedido devuelva solo lo que esa pantalla necesita, no la ficha completa del cliente.
- Formularios protegidos: verificación anti-bots y límites de envíos para que no se puedan automatizar abusos.
- Dependencias al día: las librerías desactualizadas con fallas conocidas son lo primero que se encuentra al mirar una app por dentro.
Uso legal y responsable
El propio proyecto aclara que REA es para investigación legal, educación, interoperabilidad, preservación de software y análisis de programas propios o que tengas autorización para examinar. Las herramientas comerciales que usa, como IDA o Hopper, requieren su licencia. Y entender cómo funciona algo no habilita a copiar su código: en Argentina el software está protegido por la Ley de Propiedad Intelectual (Ley 11.723). Lo valioso es aprender la idea y construir tu propia versión.
¿Qué ve alguien que mira tu app desde afuera?
En Regestio desarrollamos sitios y sistemas de gestión con la seguridad pensada desde el principio: claves en el servidor, permisos validados en la base de datos y formularios protegidos. Si ya tenés un sistema y querés saber qué expone, contanos tu caso.
Solicitar una consulta gratuitaFuentes: repositorio morluto/rea en GitHub y rea.tools.
Preguntas frecuentes
¿Qué es REA?
REA (Reverse Engineer Anything) es un proyecto de código abierto que conecta agentes de IA como Claude Code, Codex o Cursor con herramientas de ingeniería inversa. Permite inspeccionar programas, apps de escritorio, sitios web y apps de Android sin su código fuente y explicar cómo funcionan, con la evidencia de cada conclusión.
¿REA es gratis?
Sí, es código abierto con licencia MIT y se instala con npm. Algunos motores de análisis que puede usar, como IDA o Hopper, son comerciales y requieren su propia licencia; Ghidra es gratuito.
¿REA sube mi app a internet?
No. El análisis corre en tu computadora. El agente de IA sí recibe los resultados, y el proveedor del modelo tiene su propia política de datos.
¿Es legal usar REA?
Depende de qué analices. El proyecto está pensado para investigación, educación, interoperabilidad y análisis de software propio o autorizado. Copiar el código de otro producto puede violar su licencia y la ley de propiedad intelectual (en Argentina, la Ley 11.723 protege el software).
¿Qué tiene que ver con la seguridad de mi negocio?
Todo lo que se descarga el usuario, como el código de tu sitio o tu app, se puede leer. Con herramientas como REA eso es mucho más fácil, así que las claves, los precios y los permisos tienen que controlarse en el servidor y no solo en la pantalla.