REA: MCP server ที่ให้เอเจนต์โค้ดดิ้ง reverse engineer แอปได้ตั้งแต่ JavaScript ถึงไบนารี ทะลุ 77,000 ดาวบน GitHub และ v6.4 เพิ่ม Android ผ่าน ADB

REA (Reverse Engineer Anything) ของ morluto/rea เป็น repo ด้านเอเจนต์ที่โตเร็วมาก สร้างเมื่อ 14 เม.ย. 2026 ตอนนี้มีกว่า 77,000 ดาว และติด GitHub trending รายวันอีกรอบ แพ็กเกจ npm rea-agents มีคนดาวน์โหลดราว 39,000 ครั้ง ในสัปดาห์ 3–9 ต.ค. บล็อกนี้ยังไม่เคยเขียนถึงเลย จึงถือเป็นการตามข่าวย้อนหลัง โดยจุดตั้งต้นคือรีลีส v6.4.0 ที่ออกเช้าวันนี้ (11 ต.ค. 2026, 03:58 UTC)

แนวคิดของ REA คือ “เห็นฟีเจอร์ในแอปที่ชอบ แล้วเข้าใจว่ามันทำงานอย่างไร ลงไปถึงระดับไบนารี” REA ไม่ใช่เอเจนต์ในตัวเอง แต่เป็น MCP server ที่ทำให้เอเจนต์โค้ดดิ้งที่ใช้อยู่แล้วเรียกเครื่องมือ reverse engineering ได้ เช่น สั่งว่า “ไปดูว่าการค้นหาในแอป Notes ทำงานอย่างไร แสดงหลักฐาน แล้วทำฟีเจอร์คล้ายกันในโปรเจกต์ของฉัน”

ทำอะไรได้บ้าง

ติดตั้งด้วย npx rea-agents setup ตัวติดตั้งจะลงทะเบียน MCP server และไฟล์คำสั่ง workflow (skill) ให้กับเอเจนต์ที่เลือก ซึ่งรองรับ Claude Code, Codex, Cursor, Gemini CLI, Grok Build และใน v6.4 เพิ่ม Pi, Hermes และ Qwen Code ทุกการเปลี่ยน config จะถูกสำรองไว้ก่อน เป้าหมายที่วิเคราะห์ได้:

• ไบนารี native: pseudocode, assembly, strings, symbols และ call graph ผ่าน Hopper, Ghidra หรือ IDA ที่ติดตั้งไว้แล้ว
• JavaScript / Electron: modules, source maps, routes, IPC และ native add-on โดยไม่ต้องใช้เครื่องมือ native เพิ่ม
• .NET assemblies: metadata และ CIL แบบ static
• Android: APK ผ่าน JADX, resource ผ่าน Apktool และใน v6.4 ควบคุมอุปกรณ์จริงหรือ emulator ผ่าน ADB ได้ (ดู process, log, dump, จับภาพหน้าจอ, โอนไฟล์ และดึง split APK)
• เว็บและ network capture: โครงสร้างหน้า, สคริปต์, ไฟล์ HAR และ mitmproxy
• อื่น ๆ: firmware (Binwalk/Unblob), ELF และ crash dump ผ่าน pwntools, bytecode EVM และพฤติกรรมของ process ขณะรัน

การวิเคราะห์ทั้งหมดรัน บนเครื่องของผู้ใช้ README เน้นว่าทุกข้อสรุปจะส่งกลับมาพร้อม “หลักฐานและข้อจำกัด” ให้เอเจนต์ตรวจต่อได้ ไม่ใช่แค่คำตอบลอย ๆ

v6.0 ถึง v6.4 ในสี่วัน

โปรเจกต์ออกรีลีสถี่มาก (v6.0.0 วันที่ 8 ต.ค. จนถึง v6.4.0 วันที่ 11 ต.ค.) จุดที่ผู้ใช้ควรรู้:

• v6.0.0 (breaking): input ที่เป็น path ใน MCP ทุกตัว ต้องเป็น absolute path เช่น open_binary({"path":"./app"}) ใช้ไม่ได้แล้ว ต้องส่ง /home/analyst/app ส่วน CLI ยังรับ path แบบ relative ได้ใน v6.0 ยังเพิ่มการสังเกต function และ method ของ Objective-C ขณะรันผ่าน LLDB และปฏิเสธ input ของ MCP tool ที่ไม่รู้จัก
• v6.4.0: Android ผ่าน ADB, เชื่อมกับ JEB ผ่าน JEB MCP server ที่ผู้ใช้เปิดไว้เอง, Ghidra รองรับ Windows PE DLL และ MIPS ELF, ค้นหา tRPC และ GraphQL operation ในบันเดิล JavaScript, และเพิ่ม REA_MCP_INPUT_SCHEMA_PROFILE=compact สำหรับ client ที่จำกัดขนาด schema อย่าง Kimi/Moonshot
• การวิเคราะห์ JavaScript ถูกแยกไปรันใน process ของตัวเองพร้อมเพดาน heap และ timeout เมื่อทรัพยากรหมดจะคืนผลที่หาได้แล้วพร้อมบอกส่วนที่ยังไม่รู้ ไม่ใช่ล้มทั้งงาน

ตัวอย่างใน README คือการให้เอเจนต์ถอดสูตรคำนวณ sound pan ของเกม DX-Ball จาก x86 ออกมาเป็น C ที่ผ่านเทสต์เทียบกับต้นฉบับ 3,205 กรณี และไล่ clipboard bridge ของแอป Notion จาก renderer ผ่าน preload และ IPC ไปถึง main process

มุมมอง AI Curator

REA ทำให้เห็นว่า MCP ไปไกลกว่าการต่อ API กับฐานข้อมูลแล้ว ตอนนี้กลายเป็นวิธีห่อเครื่องมือผู้เชี่ยวชาญที่ใช้ยากอย่าง Ghidra และ IDA ให้เอเจนต์ใช้แทนคนได้ งานที่เคยต้องใช้ผู้เชี่ยวชาญ reverse engineering หลายวัน เช่น ไล่ IPC ของแอป Electron หรืออ่าน protocol ที่ไม่มีเอกสาร กลายเป็นคำสั่งเดียวในเทอร์มินัล สำหรับทีม security ในไทยที่คนทำ RE มีน้อยและงานล้นมือ เครื่องมือแบบนี้ช่วยได้จริงทั้งในงานวิเคราะห์มัลแวร์ ตรวจแอปที่จ้างคนนอกทำ และทำความเข้าใจระบบ legacy ที่ซอร์สโค้ดหายไปแล้ว README มีฉบับภาษาไทย (README_th.md) ด้วย

แต่ความสามารถเดียวกันนี้ก็ใช้ในทางที่ผิดได้ ข่าวเมื่อวานเรื่อง ARTEX ที่ห่อ Claude Code เป็นเอเจนต์เจาะระบบ แสดงให้เห็นแล้วว่าเกิดอะไรขึ้นได้ REA เขียนไว้ชัดว่าผู้ใช้ต้องได้รับอนุญาตและปฏิบัติตามกฎหมายเอง ส่วนการ “ดูว่าคู่แข่งทำฟีเจอร์อย่างไรแล้วทำตาม” ที่เป็นจุดขายหลัก ก็ยังติดเงื่อนไข EULA ของแอปเป้าหมายและกฎหมายลิขสิทธิ์ของแต่ละประเทศ ทีมที่จะใช้ในงานจริงควรให้ฝ่ายกฎหมายกำหนดขอบเขตไว้ก่อน

อีกเรื่องที่ไม่ควรมองข้าม: REA ให้เอเจนต์รัน process, ต่อกับมือถือผ่าน ADB และเปิดเบราว์เซอร์ ด้วยสิทธิ์ผู้ใช้ของเรา ถ้าเป้าหมายที่วิเคราะห์เป็นมัลแวร์หรือไฟล์ที่ไม่ไว้ใจ ควรรันใน VM หรือเครื่องแยก ไม่ใช่บนเครื่องที่ใช้ทำงานประจำ และการที่เวอร์ชันหลักเปลี่ยนสี่ครั้งในสี่วันก็เป็นสัญญาณว่าควร pin เวอร์ชันไว้ ไม่ควรรัน npx rea-agents@latest ใน pipeline โดยไม่ตรวจก่อน

---

แหล่งข่าว

• GitHub — morluto/rea v6.4.0 release notes
• GitHub — morluto/rea v6.0.0 release notes
• GitHub — morluto/rea README
• npm — rea-agents