REA, darmowe narzędzie do inżynierii wstecznej dla agentów AI, pozwala Claude Code, Codexowi i Cursorowi rozbierać cudze programy bez dostępu do ich kodu źródłowego, więc funkcję wyróżniającą czyjś produkt da się dziś szybciej zrozumieć i napisać od nowa. Projekt morluto/rea na GitHubie miał wieczorem 12 października 2026 roku 146 tys. gwiazdek. Jego pakiet w rejestrze npm pobrano 11 października 59 665 razy, a we wrześniu zwykle kilkanaście razy dziennie. Całej aplikacji jednym poleceniem REA nie kopiuje. Autorzy piszą o badaniu pojedynczych funkcji, a polskie prawo pozwala badać działanie programu i zabrania przepisywania jego kodu.
Co to jest REA i jak działa
REA (skrót od Reverse Engineer Anything, czyli “rozbierz cokolwiek”) to serwer MCP z wierszem poleceń. MCP to standard, przez który agent AI korzysta z zewnętrznych narzędzi. Opisaliśmy go w tekście o nowej specyfikacji protokołu MCP. Instalacja to jedno polecenie w terminalu. Rejestruje ono narzędzie w Claude Code, Codexie, Cursorze, Gemini CLI albo Grok Build.
Sam REA niczego nie dekompiluje. Podłącza agenta do programów, których specjaliści od inżynierii wstecznej używają od lat: Ghidry, IDA albo Hoppera. Agent dostaje z nich pseudokod, asembler, odwołania między funkcjami i ciągi znaków. Na tej podstawie wyjaśnia, jak działa wskazana funkcja, a potem może napisać i przetestować własną wersję.
Lista obsługiwanych celów jest długa. Są na niej zwykłe pliki wykonywalne, aplikacje JavaScript i Electron, programy .NET, aplikacje na Androida, strony WWW, zapisany ruch sieciowy, moduły WebAssembly, oprogramowanie urządzeń i stare gry na DOS. Według dokumentacji analiza odbywa się na komputerze użytkownika. Wyniki trafiają jednak do modelu, z którego korzysta agent, czyli na serwery Anthropic, OpenAI albo innego dostawcy.
Skąd nagły wzrost popularności
Wzrost zaczął się 3 października. Sprawdziliśmy dzienne pobrania pakietu rea-agents w publicznych statystykach npm. Pakiet istnieje od 12 lipca 2026 roku, a we wrześniu miał od kilku do kilkudziesięciu pobrań dziennie.
| Dzień (2026) | Pobrania pakietu rea-agents z npm |
|---|---|
| 1 października | 18 |
| 3 października | 418 |
| 5 października | 4 048 |
| 8 października | 9 000 |
| 9 października | 19 983 |
| 10 października | 34 790 |
| 11 października | 59 665 |
Liczba pobrań nie równa się liczbie użytkowników. To samo polecenie npx pobiera pakiet przy każdej aktualizacji, a część pobrań robią automaty. Od 8 do 11 października liczba pobrań rosła jednak z dnia na dzień o 72-122%.
Gwiazdki na GitHubie są słabszym sygnałem, bo da się je kupić. Repozytorium założono 14 kwietnia, a nazwę REA projekt nosi od lipca. Dokumentacja ma wersję w 19 językach, w tym po polsku.
Agenci AI · Kodożercy
Zbuduj sobie dział cyfrowych pracowników
Kurs Agenci AI od Kodożerców przeprowadza krok po kroku przez budowanie agentów w n8n. Pięciu agentów, pięć realnych zadań, a przy każdym wariant przeniesienia rozwiązania na Twój własny przypadek.
Sprawdź kurs Agenci AI →
Klonowanie aplikacji przez AI: co REA robi naprawdę
REA odpowiada na pytanie “jak działa ta funkcja” i pomaga napisać jej odpowiednik. Przykładowe polecenie z dokumentacji brzmi: “Zrozum, jak działa wyszukiwanie w aplikacji Notatki, pokaż dowody i zbuduj podobną funkcję w moim projekcie”. Projekt chwali się na przykład odtworzeniem obliczeń z gry DX-Ball z lat 90. Napisana od nowa funkcja w języku C daje te same wyniki co oryginał w 3 205 przypadkach testowych.
Strona projektu idzie dalej niż dokumentacja. Jedno z pokazowych poleceń na rea.tools każe agentowi sklonować samą stronę rea.tools. Strona internetowa to jednak najprostszy przypadek, bo jej kod i tak trafia do przeglądarki każdego odwiedzającego.
W polskich mediach społecznościowych REA miesza się z ArtCraftem, czyli darmowymi zamiennikami Photoshopa, Premiere i Illustratora. To osobny projekt. Ogłosił go 9 października programista Brandon Thomas. Według Vice napisał te programy z pomocą modelu Claude Opus 5.5 i są na etapie wczesnej, pełnej błędów wersji testowej. Żadne źródło nie łączy ich z REA.
Plik DISCLAIMER.md w repozytorium wylicza, w czym projekt nie pomoże. Na liście są obchodzenie zabezpieczeń licencyjnych i DRM, oszukiwanie w grach oraz kopiowanie zamkniętego oprogramowania razem z jego chronionym kodem i grafikami. Autorzy dopisali też zdanie ważne dla firm: uzyskanie pseudokodu czy raportu z analizy nie daje żadnych praw do oryginalnego programu.
Czy inżynieria wsteczna jest legalna w Polsce
Częściowo tak. Polskie prawo pozwala sprawdzać, jak program działa, a ogranicza kopiowanie jego kodu. Zasady są w art. 75 ustawy o prawie autorskim, które wdrażają unijną dyrektywę o programach komputerowych.
Co wolno bez zgody producenta
Osoba z prawem do korzystania z programu może go obserwować, badać i testować, żeby poznać jego idee i zasady (art. 75 ust. 2 pkt 2). Musi to robić w trakcie zwykłego, dozwolonego korzystania z programu, na przykład podczas jego uruchamiania i używania. Klauzula licencji, która tego zakazuje, jest nieważna (art. 76). Trybunał Sprawiedliwości UE orzekł w 2012 roku w sprawie SAS Institute, że funkcjonalność programu nie jest chroniona prawem autorskim. To samo dotyczy języka programowania i formatu plików. Własny program, który robi to samo co cudzy, nie narusza więc praw autorskich już przez to, że działa podobnie. Nie może jednak przejmować cudzego kodu ani innych chronionych elementów, na przykład grafik czy tekstów interfejsu.
Gdzie kończy się swoboda
Dekompilacja, czyli tłumaczenie programu z powrotem na kod, jest bez zgody dozwolona w wąskich przypadkach. Ustawa wymienia jeden wprost (art. 75 ust. 2 pkt 3): dekompilacja musi być niezbędna do tego, żeby niezależnie napisany program współpracował z innym. TSUE w sprawie Top System z 2021 roku dodał drugi przypadek, czyli poprawianie błędów w programie, który ktoś legalnie nabył. Robić ją może tylko osoba uprawniona do korzystania z programu, gdy potrzebnych informacji nie da się łatwo zdobyć inaczej, i tylko w niezbędnym zakresie. Uzyskanych tak informacji nie wolno użyć do innych celów, swobodnie przekazywać ani wykorzystać do stworzenia programu o “istotnie podobnej formie wyrażenia” (art. 75 ust. 3).
Przy agentach AI ta granica robi się nieostra. Agent, który czyta pseudokod cudzej funkcji i od razu pisze “swoją” wersję, łatwo odtworzy jej strukturę zbyt wiernie. Dlatego firmy budujące zamienniki stosują metodę czystego pokoju. Jeden zespół opisuje działanie programu, a drugi pisze kod tylko z tego opisu, bez wglądu w oryginał. Ochrony nie tracą też znaki towarowe, grafiki i dźwięki. Konkretny projekt warto skonsultować z prawnikiem od własności intelektualnej.
Co to znaczy dla firm, które sprzedają oprogramowanie
Najbardziej zagrożony jest produkt, którego jedyną przewagą jest zestaw funkcji działających na komputerze klienta. Program instalowany na komputerze, aplikacja mobilna czy narzędzie w Electronie oddają klientowi swoją część kliencką w postaci plików wykonywalnych i zasobów. Da się z nich odtworzyć sporą część logiki programu. Takie programy REA rozbiera najlepiej.
Usługi w chmurze są w lepszej sytuacji. REA widzi to, co trafia do przeglądarki: kod strony, zapytania do serwera i odpowiedzi. Logika na serwerze, dane i integracje zostają po stronie dostawcy. Naszym zdaniem właśnie tam przesuwa się przewaga. Funkcję da się podejrzeć i napisać od nowa. Trudniej odtworzyć lata danych klientów, wdrożenia, wsparcie i zaufanie.
To samo narzędzie przyda się też atakującym. Klucze API i hasła zaszyte w aplikacji mobilnej albo w Electronie agent znajdzie szybciej niż człowiek. Firmy powinny sprawdzić swoje aplikacje tak, jak zrobiłby to ktoś z zewnątrz, i przenieść sekrety na serwer.
Kto chce REA wypróbować, powinien pamiętać o dwóch rzeczach. Analizowany kod trafia do dostawcy modelu, więc w firmie trzeba to uzgodnić z polityką bezpieczeństwa. Pakiet z dziesiątkami tysięcy pobrań dziennie to też łakomy cel dla przestępców, co pokazał kwietniowy atak na Bitwarden CLI w npm.
{ aplikacje webowe }Masz pomysł na aplikację? Najpierw go zobacz
Zanim zainwestujesz w pełny system, przygotujemy klikalny prototyp, który pokażesz zespołowi albo klientom. Potem budujemy aplikację webową, która rośnie razem z firmą.
Podsumowanie
REA to darmowy serwer MCP, który podłącza Claude Code, Codexa i innych agentów AI do narzędzi inżynierii wstecznej, takich jak Ghidra i IDA. Od 3 października jego popularność rośnie skokowo: 11 października pakiet pobrano z npm 59 665 razy, a repozytorium ma 146 tys. gwiazdek. Narzędzie pomaga zrozumieć wybraną funkcję cudzego programu i napisać jej odpowiednik. Gotowych klonów aplikacji samo nie produkuje, a zamienniki programów Adobe z ostatnich dni to osobny projekt. W Polsce wolno badać działanie programu, z którego legalnie się korzysta, a klauzula licencji zakazująca tego jest nieważna. Dekompilacja bez zgody jest dozwolona tylko w wąskich przypadkach, takich jak współdziałanie programów albo poprawianie błędów, a przenoszenie cudzego kodu do własnego produktu narusza prawo autorskie. Firmy z oprogramowaniem instalowanym u klienta powinny założyć, że ich funkcje da się szybko odtworzyć, i sprawdzić, czy w aplikacjach nie zostały sekrety.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
