💻 elenafrancesco.org / Guardali anche tu

Il repo in più rapida ascesa su GitHub fa un po' paura: REA

Titolo originale: The Fastest-Rising Repo on GitHub Is a Little Scary REA

Video in inglese — riassunto in italiano

Canale: **Rob Shocks** (Switch Dimension) | Durata: `9:09` | ID video: `OMobTlfjb8s` | Pubblicato: `2026-10-09`

â–¶ Guarda il video originale su YouTube

TL;DR — riassunto del riassunto

REA (Reverse Engineer Anything) è un server MCP + CLI open source che permette ad agenti come Claude Code, Cursor e Codex di ispezionare programmi senza sorgenti: 7-8 mila stelle in un giorno, il repo che cresce più in fretta su GitHub. Non restituisce i sorgenti originali (impossibile) ma pseudocodice, assembly, mappe e prove; l'autore lo testa su una sua app con codice segreto e l'agente lo recupera davvero. Tesi: il closed source non è più un fossato — la protezione vera sta in dati, utenti, cloud, velocità e gusto. Avvertenze: legale (vietato da molti ToS, DRM a parte), sicurezza (sandbox, prompt injection) e repo che cambia ogni giorno.

00:00 — Introduzione

Nuovo repo open source che permette al tuo agente — Claude Code, Cursor, Codex o altro — di guardare dentro un programma senza sorgenti, capire come funziona una feature, mostrarti le prove e ricostruirne una versione. Si chiama REA, «Reverse Engineer Anything». Tra i repo in più rapida crescita su GitHub: circa 7-8 mila stelle in un giorno, in aumento ogni minuto.

Rob, sviluppatore e product manager da 20 anni (canale Switch Dimension, si costruiscono cose vere con gli agenti AI), vuole fare due cose: mostrare cosa fa davvero REA — perché la maggior parte dei post sul tema sbaglia — e spiegare perché cambia le regole per chiunque rilasci software. Lo testa su codice scritto da lui, di cui ha «perso» la chiave: hype o funziona davvero?

01:04 — Cos’è davvero REA (e cosa non è)

L'idea dal readme: vedi una feature in un'app che vuoi nel tuo prodotto, chiedi all'agente di studiarla — senza i sorgenti. Tecnicamente è un server MCP + CLI collegabile a Claude Code, Codex, Cursor, tutto ciò che supporta MCP. E non solo app Electron (di cui si intravedeva il codice): binari nativi Mac, Windows e Linux — un'enorme fetta delle app desktop quotidiane — più .NET, APK Android, firmware, siti web e persino bytecode di smart contract.

Qui molti si confondono: non restituisce i sorgenti originali — niente può farlo, in compilazione il codice originale va perso. Restituisce pseudocodice, assembly, mappe dei moduli, percorsi di chiamata e attività di rete, con prove che spiegano perché l'agente crede che le cose stiano così. Ogni finding arriva con fonte, livello di confidenza del modello e cosa non è riuscito a capire da solo. Roba che prima costava un sacco di soldi e tempo.

02:15 — Come funziona

L'architettura è semplice: REA non è un decompiler, niente di rivoluzionario — è un wrapper degli strumenti seri già usati dai reverse engineer: Ghidra (gratis, dell'NSA) e, su Mac, Hopper, più IDA Pro, costoso standard industriale. Tutto questo era già possibile prima, con abbastanza tempo e soldi. La differenza: gli ostacoli sono spariti. Quegli strumenti sono potentissimi ma notoriamente difficili; REA dà all'agente decine di tool testuali (apri il binario, trova le stringhe, traccia le chiamate) per navigare e capire. Setup banale: npx rea-agent-setup — mostra un piano, fa backup della config, aggiunge MCP server e skill che insegna all'agente a investigare, e chiede permesso prima dei cambiamenti critici.

03:13 — Sponsor: TestSprite

Parentesi sponsor: TestSprite, agente AI che scrive test end-to-end e li esegue sull'app di produzione vera — simula un utente reale, non test finti. Si collega all'agente di coding via CLI open source e MCP: «aiutami a testare il checkout» → 12 test nel browser in cloud, anche schedulati. Se uno fallisce (es. codice promo ignorato nel totale), torna lo step fallito con screenshot e causa radice; l'agente fixa, riesegue: 12 su 12. I test restano e girano a ogni change. Gratis da provare, link in descrizione.

Prima della demo, l'avvertenza onesta: è potentissimo, lo userai su binari di cui non sai nulla — potrebbero nascondere istruzioni malevole per la tua AI. Eseguire tutto in sandbox, con estrema cautela.

04:14 — Demo: nascondo un segreto nell’app, lo trova l’agente?

Test onesto, non «fidati che funziona»: ha scritto lui un'app («storage») con codice di sblocco e regola di validità nascosta, più messaggio segreto visibile solo col codice giusto. Avendo i sorgenti ha la risposta perfetta per verificare. E l'ha compilata come si fa davvero: ottimizzata, nomi di funzione rimossi — «verifica codice» è solo una funzione a un indirizzo. Ghidra accanto trova oltre 242 funzioni anonime (fun + indirizzo) e decompila in pseudo-C.

Risultato: in pochi passi trova la funzione giusta, gli scrive un generatore e gli dà il codice AGNT-1001 — dentro. Il punto che molti perdono: non ha copiato il codice, ha capito la logica e scritto qualcosa di nuovo — un generatore che nell'app originale non esiste nemmeno.

05:59 — Il closed source non è più un fossato

Per anni il software ha goduto di una protezione non detta: il reverse era possibile ma lento, specialistico, carissimo — quasi nessuno lo faceva. Quella complessità era la protezione, e REA la rimuove. Niente panico stile «gli aerei cadono perché hackerati col reverse»: restano ostacoli e livelli prima di compromettere sistemi seri. Ma se rilasci app desktop, estensioni browser, giochi, app mobile o grossi pacchetti JS client-side, devi assumere che l'agente di chiunque possa capire come funzionano («vedremo mod interessanti di GTA 6 nei prossimi mesi»).

E non è un disastro: il codice non è mai stato una vera barriera alla concorrenza, almeno per la maggior parte. La protezione vera sta in dati, utenti, sicurezza cloud, velocità di rilascio, gusto — e ciò che gira sui tuoi server, dove nessuno può verificare.

Lato positivo per la sicurezza: puoi puntarlo sulle app del tuo computer e chiedere «cosa fa davvero? cosa manda a casa?». Ci sono stati casi di stampanti 3D e persino macchine del caffè hackerate che esfiltravano dati in rete a tua insaputa.

07:25 — Il rovescio della medaglia: legale, sicurezza e velocità

Tre cose. Primo, legale (non è un avvocato, non è consulenza): il reverse per compatibilità era di solito protetto, ma molte app lo vietano nei ToS, e craccare DRM o crittografia è un'altra questione legale. Sicuri: le tue app, binari open source, task di sicurezza e ciò che hai diritto di testare — il disclaimer di REA dice che sei responsabile tu.

Secondo, non è una sandbox: col runtime capture il target gira coi tuoi permessi — mai puntarlo su binari casuali da forum, e lascia attive le richieste di conferma dell'agente (chissà quali prompt injection). Terzo: il repo cresce velocissimo, cambiamenti critici ed energia incredibile — aspettati update continui e resta aggiornato.

08:21 — Per cosa lo userei davvero

Da ingegnere: studiare come fanno sync offline, clipboard e ricerca le grandi app desktop e rifarne una versione propria; auditare le app Electron sul suo computer (ne ha molte); recuperare logica di vecchi progetti coi sorgenti persi. Cosa non farebbe: puntarlo su un concorrente per clonare — rischioso legalmente e fuori punto. Capire l'idea e farla meglio: tanto il marketing dei grandi non lo batti, e ormai tutto dipende dalla distribuzione.

Domanda ai lettori: se potessi applicarlo a una funzione di un programma, quale? Poi corso e community Switch Dimension (iscrizioni chiuse, waitlist aperta) e subscribe — «considero solo gli agent tool che contano davvero».

08:52 — Chiusura

Rimando al prossimo video sulle skill.

Tesi / conclusione dell'autore

  1. REA non inventa il reverse: mette Ghidra & co. in mano agli agenti via MCP, abbattendo tempo, costo e skill richieste.
  2. Dimostrato dal vivo: logica segreta recuperata da binario ottimizzato e senza nomi, senza copiare una riga.
  3. Il closed source non è più un fossato: assumi che ogni client che rilasci sia leggibile.
  4. La difesa vera: dati, utenti, cloud, velocità, gusto, server-side.
  5. Usi legittimi (audit, compatibilità, recupero) sì; clonare i concorrenti no — legale e strategicamente inutile.
dato valore
repo morluto/rea (licenza MIT)
stelle al lancio 7-8 mila in un giorno (verificato: oltre 60 mila a ottobre 2026)
setup npx rea-agent-setup (+ backup config, skill, permessi)
target nativi Mac/Win/Linux, .NET, APK, firmware, web, bytecode smart contract
output pseudocodice, assembly, mappe, call path, rete + fonte e confidenza
demo 242+ funzioni anonime, codice AGNT-1001 recuperato
sponsor TestSprite (12/12 test end-to-end)

Fonti

Capitoli