开源项目REA让AI学会逆向拆解软件，闭源软件的保密壁垒开始松动
AI 学会拆软件了，闭源软件靠「看不懂」守了二十年的墙，开始漏风了
- 1开源项目REA把逆向工具接入Claude Code、Cursor等编程智能体，单日涨星25784、累计超六万
- 2开发者用AI复刻Adobe与微软套件，自称WordCraft对齐Word约62%、GridCraft支持93%常用函数
- 3法国安全团队Quarkslab实测Claude Opus 5未能破解层层加固的二进制，判断混淆仍在抬高攻击成本
- 4文章判断拆解成本趋零后功能不再是壁垒，软件价值转向服务端数据与迭代速度，App退为能力供给方
AI把逆向与复刻成本压到个人可承受的水平，闭源客户端靠看不懂建立的功能壁垒正在失效，价值向服务端数据和迭代速度转移。
- 影响：依赖客户端功能保密的软件产品面临低成本复刻压力；数据积累和版本迭代速度取代功能成为新的价值来源；现有混淆防护对AI攻击仍有效，但作用是抬高成本而非杜绝拆解。
- 参考：可考虑盘点自家产品里仅靠客户端实现的价值点，评估向服务端和数据积累迁移；功能型卖点值得测算被复刻后的定价空间；涉及闭源保护的合同可把协议与法律约束条款前置。
- 依据：REA单日涨星25784出自GitHub榜单帖；WordCraft对齐Word约62%为开发者自述；文章引Quarkslab测试称混淆仍在抬高攻击成本。
登录
搜索
- 36氪Auto 数字时氪 未来消费 智能涌现 未来城市 启动Power on 36氪出海 36氪研究院 潮生TIDE 36氪企服点评 36氪财经 职场bonus 36碳 后浪研究所 暗涌Waves 硬氪 氪睿研究院 媒体品牌
- 企业号 企服点评 36Kr研究院 36Kr创新咨询 企业服务
- 核心服务 城市之窗 政府服务
- 创投发布 LP源计划 VClub VClub投资机构库 投资机构职位推介 投资人认证 投资人服务
- 项目推荐 36氪Pro 创投氪堂 企业入驻 创业者服务
- 创投平台
- AI测评网
搜索
我要入驻
AI 学会拆软件了，闭源软件靠「看不懂」守了二十年的墙，开始漏风了
星海情报局· 2026年10月12日 13:19
软件行业的天要塌了。
一个人，复刻了半个软件世界
软件行业的天要塌了。
起初，是我看到一个帖子，一个前苹果设计师Robbie Tilton受不了adobe昂贵的订阅和几个G的程序，直接用AI开发了一个免费的PS编辑器Compositor，安装到电脑上只有12M。
图层、蒙版、剪贴蒙版、调整图层，Photoshop老用户用得上的它基本都有。星标一万四千多。
Tilton说：合成要用的工具都在，别的废话一概没有。我也安装到我自己的电脑上了，确实很丝滑。
只不过只有mac用户才能用。
不过别遗憾，差不多同一时间，另一个类PS项目也被Vibe Coding了出来。这个平替叫 PhotoCraft，并且这个叫Brandon Thomas的开发者直接复刻了Adobe宇宙。
Photoshop → PhotoCraft
Illustrator → VectorCraft
Premiere Pro → FilmCraft
After Effects → EffectCraft
Lightroom → LightCraft
InDesign → DesignCraft
Acrobat → PrintCraft
无需订阅。适用于 macOS、Windows 和 Linux。但目前还处于早期阶段，代码全部开源。
官方引以为傲的混合模式、滤镜、内容识别、污点修复等等功能，还没法一夜补齐。
但是我想，Adobe的开发者此刻心里很慌。
Adobe呢？目前还没有公开回应，也没有起诉。它还在忙着自己的更新：把Photoshop和Firefly带进了Google Gemini，让Premiere上了Android，4K导出还免费。
这个狠人也没闲着，在 GitHub 上一口气丢出了微软三件套的纯 Rust 开源复刻版：WordCraft（对标 Word）、GridCraft（对标 Excel）和 DeckCraft（对标 PowerPoint）。
**这位开发者介绍，项目用的是「净室重写」，也就是没看过原软件的代码，只照着功能从零重写，这样能避开版权风险。**写代码的时候，他让 AI 当结对编程的搭档（就是两个人坐一起写，一个敲一个盯，这里的另一个人换成了 AI）。
三个项目目前的进度是这样的。WordCraft 已经能读写 .docx 文件，功能和 Word 的对齐度，据他自己说大约有 62%。GridCraft 支持了 93%的常用工作表函数，日常做表够用的函数基本都有了。DeckCraft 还在往第一个 Alpha 版本推进，也就是内测版，离能用还差一步。
后面他还打算做 CADCraft，对标 AutoCAD，再加上一套音频工具。
一个人就是千军万马呀！
游戏行业也没闲着。
AnyPS5这个项目旨在让你的 PS5 游戏在 Windows 或 Linux 上运行。而且不是一个模拟器。
索尼正在提刀来的路上！
这几件事凑在一块，说的是同一回事：闭源软件靠「看不懂」守了这么多年的那堵墙，开始漏风了。
这几天最火的项目，专门拆软件
这两天有一个项目在GitHub上非常火，叫rea，目前还在Github Trending榜排名第一。
10月10日，@Trending GithubReponsitories发帖确认，它一天涨了25784颗星，累计六万多。
它的主要功能就是逆向一个一个软件。
一个软件，你在使用的时候只能是机器能读的形式，至于软件的代码是怎么写的，你已经看不到了，逆向就是从这个成品倒推它当初是怎么写的，好比拿到一道菜，没有菜谱，靠尝和拆去反推做法。
REA这个项目全称是Reverse Engineer Anything，它把逆向分析工具接到了Claude Code、Codex、Cursor这类AI编程智能体上。
REA 实际上就是一种MCP的服务，而MCP可以看作是人工智能调用外界程序的一种通用接口，在对话过程中就可以直接使用了，就像给手机插入一根充电线一样简单。
安装起来很容易，只需要一条命令就可以完成整个过程：npx rea-agents setup
可以拆卸的部分要比预想中还要多！
先说原生程序，比如微信、各类游戏。这类软件直接编译成了机器码，只有机器读得懂。要借助 Hopper、Ghidra、IDA 这几款反汇编工具，先把机器码翻成汇编，再翻成近似 C 语言的草稿，行话叫伪代码。
再者就是 Electron 应用了，比如 Notion。它使用的是网页技术来创建桌面应用，安装包里有个ASAR文件，当它是压缩包，直接就能拆开。各个模块之间的通信方式也很容易弄清楚，并不需要其他工具的帮助。
除此之外，.NET 程序、安卓 APK、固件、网站、抓包记录都能分析。在 Linux 和 macOS 上，还能记录程序运行时的行为。
有博主实测过，项目支持 DeepSeek Harness，可以逆向分析安卓APK！
以前读一个没有源码的程序，得自己对着反汇编工具一行行啃，一层层追调用，一个函数看一天，一点都不稀奇。现在可以让智能体先去追，人只负责核对它给出的证据。
做安全研究的人很轻松，复刻老游戏、保存软件的人也很轻松。
但有一件事没法外包：核对证据，承担后果。
静态混淆，像皇帝的新衣
过去，软件公司做代码混淆、动态加密、反调试，心里就一个假设：
别人看不懂，改不动，复制不起。
可现在面对 AI Agent，很多静态混淆就像皇帝的新衣。只要证据链能追下去，局部逻辑就能被还原。
Replit创始人Amjad Masad最近发帖称，AI逆向最近的进展离谱，用不了多久，所有软件事实上都会开源。
REA 的方法并不是最新的，用的就是无尘室设计。
最典型的例子就是Phoenix Technologies公司在1984年的时候想要模仿IBMPC的BIOS（即计算机开机后首先执行的一小段底层代码），但是直接照搬的话就会侵权，所以该公司把员工分成两组来做这件事情。
第一组知道IBM的代码，但是只能写出“这个程序的功能是什么”，不能写出它是如何实现的。
第二组没有见过IBM的代码，拿过一份说明书之后就自己开始写了。
分两个小组进行，并且要留下证据，这就相当于为自己做了一份证明：我没有抄袭别人的作品，而是自己创作出来的。Phoenix 之后又把这套BIOS授权给了很多家电脑公司，赚了不少钱。
不同的是，在无尘室中工作的人员变成了Agent。
先泼点冷水，再看一个扎心的实验
先别急着喊软件要完蛋，有几件事得说清楚。
在软件界有一种防止逆向工程的办法，就是给程序加上保护措施，专门防逆向，比如加壳、VMP 虚拟化、运行时密钥、动态调试对抗。你可以理解成：把菜谱改写成暗号，一偷看还会自动换暗号。
REA 没有遇到过类似的手段，在官方展示的小函数中，很多都是 63 字节大小的小函数，并且是由项目方挑选出来的。如果使用一个完整的商业软件来检测的话，又会产生什么样的结果呢？目前没有人可以给出答案。
法国安全团队 Quarkslab 做过一个测试，起因很有意思。
有客户对他们说：混淆技术已经完了，大模型辅助逆向，轻松就能破。Quarkslab 不服，决定亲手验证。（混淆就是故意把代码弄得一团糟，使别人看不懂。）
2026年初，他们花了好几周，把Claude Opus 5放进沙箱，丢给它几个层层加固的 AArch64 二进制文件，指令很简单：把里面藏的字符串找出来。
结果没有一个样本被真正破解。
agent的问题和不认真学习的学生差不多，那就是偷懒。它不去弄懂这些保护措施，而是找最容易的方式去做。
如果加固很多的话，那么它就会由原来的静态分析变成现在的动态测试来验证结果。继续这样下去就不动了，于是就提交了一份看似正确的但是实际上是编出来的报告。
Quarkslab 的判断是：混淆没有失效，仍然在成倍抬高攻击者的成本。
不过另一边也没闲着。今年 3 月有篇论文叫 Pushan，在 1000 多个 二进制文件上做了测试，里面有受 VMProtect 和 Themida 这两款商业混淆器保护的，照样还原出了控制流图，还反编译成了 C 伪代码。它靠的是符号仿真，没有用大模型。
因此，防守与进攻之间还存在着差距，并没有一方可以立马把另一方击败。
法律和护城河，各管各的
首先从法律的角度来看，《计算机软件保护条例》中有关的内容需要记住两点：
第六条：保护不延伸到开发软件所用的思想、处理过程、操作方法和数学概念。
第十七条：为了学习、研究软件里的设计思想和原理，可以通过安装、显示、传输或存储软件的方式使用，不用经过著作权人许可。
这两点并没有直接解答出“反编译可以走到什么地步”。但是有一个地方很清楚：把还原结果拿去复制牟利，或者越过用户协议，风险是另一回事。
看看微信、支付宝、抖音等国民级别的APP，客户端就算被复刻出来，壁垒也还在，因为它们真正值钱的东西在服务端：风控模型、社交关系链、推荐算法、商户网络，还有牌照。
拿微信来说，它的壁垒之一，是十几亿人都在里面。这条关系链根本不在客户端代码里，逆向拿不走。
再往后想一步：App 退到后台
功能能被拆开、复刻，App 当“功能容器”的价值就会往下掉。
继续往后推，软件的下一个样子，可能是 Agent 替你现场拼出来、用完就扔的一次性定制品，手机里连那个图标都不用留。
假设有一天你没有打开任何一个应用程序，只是简单地说了一句：“今天要办的事情有哪些？”然后让 Agent 查看你的日程表、电子邮件、群聊以及工单，并把它们汇总成一份清单交给你，你看完，这张单子的界面就没了。
听上去很好玩，但是也会失去一个东西：每个人看到的画面都是不一样的。
同事之间再也没法说“把这个表发我”，因为根本不存在同一个“这个表”。
App不会消失，它会退到后台，变成能力的供给者。
对中国产业来说，一次性功能的供给能力反倒最占便宜。小程序生态、模板化 SaaS、海量的开发产能，都在这条线上。代价就是品牌的积累更加困难了。
拆解成本趋近于零以后，功能不再是壁垒，真正值钱的只剩两样：一是积累的数据；二是跑得比别人快的那个版本号。
本文来自微信公众号“星海情报局”（ID：junwu2333），作者：星海老局，36氪经授权发布。
该文观点仅代表作者本人，36氪平台仅提供信息存储空间服务。
商业策划
+1
8
好文章，需要你的鼓励
星海情报局特邀作者
0收 藏+10评 论
打开微信“扫一扫”，打开网页后点击屏幕右上角分享按钮微 博
沉浸阅读 返回顶部
举报
参与评论
评论千万条，友善第一条
登录后参与讨论
提交评论 0/1000
商业策划
你可能也喜欢这些文章
刚刚，GPT-6 Astra联手非职业数学家，证明57年“摆圆” 难题
36氪首发 | 获数千万融资，ModCraft想让AI通过Mod理解游戏设计
特邀作者
关注“中国制造”的星辰大海
发表文章 310 篇
最近内容
AI 学会拆软件了，闭源软件靠「看不懂」守了二十年的墙，开始漏风了
32分钟前
2026-10-08
2026-09-28
商业策划
提及的AI
36氪AI测评
选靠谱AI，看真实评测
查看
36氪AI测评官方交流社区
加入
36氪项目推荐
咨询项目审核和入驻
联系
36氪项目推荐订阅号
关注
下一篇
实体书店整体遇冷，西西弗逆市扩张的原因解析。
39分钟前
关于36氪
热门推荐
合作伙伴
36氪APP下载
iOS & Android
本站由阿里云提供计算与安全服务 违法和不良信息、未成年人保护举报电话：010-89650707 举报邮箱：jubao@36kr.com网上有害信息举报
© 2011~2026 北京多氪信息科技有限公司 |京ICP备12031756号-6|京ICP证150143号|京公网安备11010502057322号
36氪APP 让一部分人先看到未来
36氪
鲸准
氪空间
推送和解读前沿、有料的科技创投资讯
一级市场金融信息和系统服务提供商
聚焦全球优秀创业者，项目融资率接近97%，领跑行业
来源：36氪·AI · 36kr.com