REA (Reverse Engineer Anything): o que é a ferramenta de engenharia reversa com I.A. que viralizou

O que é o REA

O REA, sigla de Reverse Engineer Anything (algo como "faça engenharia reversa de qualquer coisa"), é um projeto de código aberto publicado no GitHub pelo desenvolvedor que assina como morluto. Ele se apresenta como um único servidor MCP para engenharia reversa de programas, aplicativos e comportamento em tempo de execução, e é distribuído sob a licença MIT.

O projeto viralizou em outubro de 2026 e, em 19 de outubro, passava de 300 mil estrelas no GitHub. Os números divulgados pela imprensa variam bastante de uma reportagem para outra; a referência confiável é o próprio repositório. Para o contexto completo, com o caso dos clones da Adobe, veja o guia de engenharia reversa com I.A..

Como o REA funciona

O REA não é um programa que você abre e usa sozinho. Ele é uma ponte entre um agente de I.A. e as ferramentas que especialistas em engenharia reversa já usavam. Essa ponte segue o Model Context Protocol (MCP), o padrão aberto que permite a um modelo chamar ferramentas externas. O fluxo tem quatro passos:

• ✓Instalação: um comando registra o servidor MCP do REA no agente e adiciona as instruções de trabalho, com backup da configuração anterior.
• ✓Pedido: a pessoa aponta um alvo (um arquivo, um aplicativo, um site) e faz uma pergunta ao agente, como "o que esta função faz?" ou "com quais servidores este app se comunica?".
• ✓Análise: o REA executa as ferramentas na máquina do usuário e devolve pseudocódigo, mapas de chamadas, textos encontrados no programa e registros de execução.
• ✓Resposta: cada conclusão vem com a evidência que a sustenta e as limitações conhecidas, para que uma pessoa possa conferir.

Com quais agentes ele funciona

O repositório cita Claude Code, Codex, Cursor, Gemini CLI e Grok Build, e afirma que qualquer agente que aceite servidores MCP locais pode usar o REA, com registro manual quando a instalação automática não cobre o caso.

O que ele consegue analisar

Segundo o repositório, o REA cobre uma lista ampla de alvos, cada um com as ferramentas adequadas:

• ✓Programas nativos de Windows, macOS e Linux, com Ghidra, IDA ou Hopper.
• ✓Código em Go, Rust e WebAssembly, e contratos da rede Ethereum (EVM).
• ✓Aplicativos em JavaScript e Electron, e sites.
• ✓Programas .NET.
• ✓Aplicativos e aparelhos Android, com JADX, Apktool e adb.
• ✓Firmware de dispositivos.
• ✓Capturas de tráfego de rede, bancos de dados SQLite e registros de travamento.
• ✓Comportamento de processos em execução.

O que o REA não faz

Boa parte das manchetes exagerou o que a ferramenta entrega. A análise publicada pelo portal IA.com.br e o artigo do desenvolvedor Fabio Akita convergem nos mesmos pontos:

• ✓Não descompila sozinho: em programas nativos, quem faz o trabalho pesado são Ghidra, IDA ou Hopper. O REA coordena.
• ✓Não recupera o código-fonte original: o resultado é uma reconstrução aproximada, que precisa ser validada.
• ✓Não clona aplicativos com um clique: transformar uma análise em um produto que funciona continua exigindo muito trabalho de engenharia.
• ✓Não fornece licenças: ferramentas pagas, como IDA, Hopper e JEB, precisam ser compradas por quem usa.
• ✓Não garante acerto: o aviso do próprio projeto diz que a análise assistida por I.A. pode ser incompleta ou incorreta.

Quanto custa usar

O REA é gratuito, mas o uso tem custos indiretos. O primeiro são as ferramentas: o Ghidra é gratuito, enquanto IDA, Hopper e JEB são pagos. O segundo, e mais relevante, são os tokens do agente, já que a análise roda na assinatura ou na conta de API de quem usa.

As análises consomem bastante. O Akita relata que o catálogo de ferramentas do REA tem cerca de 2,3 MB e que um exemplo do próprio projeto, a análise de um banco SQLite compilado para WebAssembly, levou 42 chamadas de ferramenta, cinco minutos e cerca de 300 mil tokens de entrada. Em projetos maiores, a conta cresce rápido.

Para que serve e o que é proibido

O aviso do repositório lista como usos aceitáveis a pesquisa de segurança, a análise de malware, a divulgação coordenada de vulnerabilidades, competições de segurança (CTF), a interoperabilidade, a preservação de software e a análise de programas próprios ou autorizados.

E exclui explicitamente: burlar DRM, verificação de licença ou sistemas anticheat, trapacear em jogos online, contornar a autenticação de sistemas sem autorização, copiar software proprietário e usar cópias piratas das ferramentas. Para entender os limites no Brasil, veja engenharia reversa de software é crime?.

Cuidados de segurança ao usar

Duas observações da análise do IA.com.br merecem atenção. A primeira: a ponte local do REA não é um ambiente isolado e não protege contra processos maliciosos que já estejam rodando com o mesmo usuário. A segunda: os resultados das ferramentas passam pelo provedor do modelo de I.A., então o tratamento desses dados depende da política do provedor.

Para analisar software da empresa, use planos cujos termos garantam que os dados enviados não são usados para treinar modelos, e não rode a ferramenta em máquinas com acesso a dados de produção.

O que o REA significa para empresas

Para quem publica software, o recado é que analisar um aplicativo ficou mais rápido e mais acessível, inclusive para quem tem más intenções. Vale revisar o que está exposto, como mostramos em engenharia reversa e I.A.: como proteger seu app.

Para quem tem sistemas antigos sem documentação, a mesma técnica é uma aliada: veja como documentar sistemas legados com I.A.. E para decidir onde ferramentas como essa fazem sentido no seu negócio, com que regras e com que riscos, conte com a nossa consultoria em I.A..

• GlossárioMCP (Model Context Protocol)MCP é um protocolo aberto, criado pela Anthropic, que padroniza como modelos de I.A. se conectam a ferramentas, dados e sistemas externos, permitindo que um mesmo agente acesse arquivos, APIs e bancos de dados de forma consistente.
• BlogEngenharia reversa com I.A.: o guia completo sobre o REA, os clones da Adobe e o que muda de verdadeO que é engenharia reversa com I.A., o que o REA e os apps do ArtCraft realmente entregam, o que diz a lei brasileira e o que muda para a sua empresa.
• ServiçoConsultoria em I.A. para EmpresasMapeamento de processos, identificação de oportunidades e roadmap de implementação de I.A. no seu negócio, com estratégia antes da execução.