2 tuần, 300.000 sao: REA là gì mà dân dev phát sốt?

REA là gì? Giải thích cho người không phải dev

Hình dung thế này: mỗi app bạn cài là một chiếc hộp đóng kín. Bạn thấy nút bấm, thấy kết quả, nhưng không thấy bên trong.

REA là máy chụp X-quang cho chiếc hộp đó. Bạn chỉ vào một tính năng và hỏi AI “cái này chạy thế nào?”. REA đưa cho AI những gì nó soi được bên trong. AI đọc, rồi giải thích lại cho bạn, hoặc viết một phiên bản tương tự.

Câu slogan trên trang chủ của REA tóm gọn đúng tinh thần đó: tìm ra phần mềm chạy như thế nào.

Ba thông tin cần nhớ

• Tên đầy đủ: Reverse Engineer Anything. Reverse engineering, tức “dịch ngược”, là đi từ sản phẩm hoàn chỉnh ngược về cách nó được làm ra.
• Chính chủ: repo morluto/rea trên GitHub, trang rea.tools, gói npm rea-agents.
• Giá: miễn phí, mã nguồn mở, giấy phép MIT.

Về kỹ thuật, REA là một MCP server. MCP là chuẩn giúp AI gọi được công cụ bên ngoài, giống cổng USB cho AI. Nếu chưa rõ, đọc nhanh MCP là gì và Agent là gì.

REA “mổ” được những gì?

Danh sách dài hơn bạn nghĩ:

Vì sao REA “cháy” GitHub: 300.000 sao trong 2 tuần

Sao GitHub giống lượt “thả tim” cho một dự án code. Một dự án có vài nghìn sao đã được coi là thành công. REA làm được điều mà hầu hết repo cả đời không chạm tới.

Repo đã nằm im lặng vài tháng. Rồi tháng 10 tới, và mọi thứ bùng nổ.

1. 04/10/2026
   Bắt đầu nóng lên

   1.373 sao mới trong một ngày.

2. 07/10/2026
   Chạm mốc gần 10.000 sao

   Thêm 5.602 sao trong ngày; tổng khoảng 9.700.

3. 09–11/10/2026
   Ba ngày bùng nổ

   19.375 → 26.572 → 31.255 sao mới mỗi ngày.

4. 12/10/2026
   Vượt 115.000 sao, 25.000 fork

   Đứng đầu GitHub Trending 5 trên 7 ngày, từ 6 đến 12/10.

5. 16/10/2026
   268.528 sao

   Lượt tải gói npm rea-agents tăng từ 16 (ngày 2/10) lên 103.109 (ngày 12/10).

6. 19/10/2026
   Hơn 322.000 sao, 81.700 fork

   Theo trang GitHub của dự án.

Ba lý do dân dev phát sốt

1. Biến việc của chuyên gia thành một câu hỏi. Dịch ngược vốn là nghề của dân bảo mật, với những tool khó nhằn như Ghidra hay IDA. REA không phát minh ra tool nào mới. Nó làm một việc đắt giá hơn: cho AI cầm lái các tool đó. Bạn chỉ việc hỏi bằng tiếng người.

2. Cắm vào agent bạn đang dùng. Không cần app mới. REA tự cấu hình cho Claude Code, Codex, Cursor, Gemini CLI, Grok Build và các agent hỗ trợ MCP.

3. Câu hỏi ai cũng tò mò: “AI có copy được app không?” Trên mạng xã hội, người ta khoe đã bóc tách điều khiển Apple TV trong 45 phút, hay clone cả bộ app. Những lời khoe này chưa được kiểm chứng. Nhưng chừng đó đủ khiến cả cộng đồng lao vào thử.

Thêm một chi tiết cho thấy dự án “chạy” cỡ nào: từ 3/10 đến 11/10, REA ra liền 7 phiên bản, từ v3.2 lên v6.4.

Bên trong REA: “nhạc trưởng”, không phải phép màu

Nhiều người tưởng REA là một AI siêu đẳng tự đọc mã máy. Thực tế REA giống nhạc trưởng hơn. Dàn nhạc là những công cụ đã có từ lâu:

• Ghidra: công cụ miễn phí do NSA (cơ quan an ninh Mỹ) công bố năm 2019.
• IDA, Hopper: công cụ trả phí lâu năm của dân dịch ngược.
• Bộ đọc riêng của REA cho JavaScript, .NET, website, Android.

Luồng chạy như sau:

1. Bạn hỏi agent (Claude Code, Cursor…) về một tính năng.
2. Agent gọi REA qua MCP.
3. REA chọn đúng công cụ, soi phần mềm ngay trên máy bạn.
4. REA trả về kết quả kèm bằng chứng: nằm ở file nào, đoạn byte nào. Kèm theo là danh sách những điều nó chưa xác định được.
5. Agent dùng kết quả đó để giải thích, hoặc viết và kiểm thử một bản dựng lại.

Điểm số 4 chính là thứ khiến REA đáng tin hơn một AI “chém gió”. Mọi kết luận đều chỉ được nguồn. Chỗ nào chưa chắc, nó nói chưa chắc.

Xem REA làm thật

Trang chủ và README của REA có sẵn vài ví dụ rất “đời”:

• Game Chrome khủng long: tốc độ bắt đầu ở 6 và tăng dần tới trần 13. Đo kiểm cho thấy tốc độ là 10 sau 4.000 lượt cập nhật, và 13 sau 10.000 lượt.
• Máy tính Windows: nút % chạy theo một quy tắc sau dấu +, và quy tắc khác sau dấu ×. Vì vậy 200 + 10% ra 220.
• Notion: lần theo đường đi khi bạn copy một block, xem vì sao dán sang chỗ khác vẫn giữ nguyên định dạng.
• Game DX-Ball (1996): tìm ra công thức đổi vị trí quả bóng thành âm thanh trái/phải. Bản dựng lại khớp bản gốc trên toàn bộ 3.205 trường hợp kiểm thử.
• App xác thực Android Aegis: giải thích vì sao mã đăng nhập 6 số đổi sau mỗi 30 giây.

Điểm chung: mỗi ví dụ là một tính năng cụ thể, không phải “copy nguyên cái app”.

Cài REA trong 1 lệnh và giao việc cho AI

$ npx rea-agents@latest setup

$ rea update

Nếu muốn dùng REA ngay trong terminal, không qua agent:

$ npm install --global rea-agents
$ rea --help

Cài xong muốn khai thác tới nơi? Xem 7 cách khai thác REA, có prompt xài ngay: từ soi một nút bấm, vẽ bản đồ API đến tự build tool cho riêng mình.

Vài giới hạn cần biết trước

• App native cần thêm Ghidra (miễn phí), IDA hoặc Hopper. JavaScript, .NET, website thì không cần gì thêm.
• Hopper không có bản Windows. Phân tích firmware, WASM, EVM cần Linux 64-bit.
• REA phân tích ngay trên máy bạn. Nhưng kết quả vẫn được gửi cho nhà cung cấp model mà agent đang dùng (Anthropic, OpenAI…).

Thử thật: AI dựng lại app y chang từng byte… và cú twist

Demo trên trang chủ luôn đẹp. Vậy dân dev bên ngoài thử thì sao?

Bài test 1: app .NET có giấu “chìa khoá”

Một dev trên DEV Community tự viết app C# nhỏ khoảng 105 dòng, giấu bên trong một key giả. Sau đó build ra 3 bản với độ khó tăng dần: bản thường, bản làm rối code (obfuscate), và bản biên dịch thẳng ra mã máy (Native AOT). Anh thả từng bản cho AI, một lần có REA, một lần không.

Cú twist: AI không dùng REA lại về đích nhanh hơn ở cả 3 lần. Lý do là con AI đó tự dùng công cụ có sẵn trên máy và tự viết script soi mã. Cách này nhanh nhưng phải chạy thử file lạ, rất rủi ro nếu app không đáng tin.

Người test kết luận: REA là công cụ thật, làm việc cẩn thận, và tỏa sáng nhất ở mã máy native, nơi nó cho ra bản dựng lại chính xác tuyệt đối.

Bài test 2 và 3: clone Preview và Loom

Bài tổng hợp trên Substack của Lucija Tomšić dẫn lại hai thử nghiệm của YouTuber:

• Nick Saraev dựng lại app xem và đánh dấu PDF kiểu Preview của Mac. Bản có REA chậm hơn 3–4 phút, nhưng giao diện gần như y hệt và vẽ mượt hơn bản không có REA.
• Nate Herk dựng lại app quay màn hình kiểu Loom, có bong bóng camera kéo thả và đếm ngược. Bản copy chỉ lấy hành vi, lưu file trên máy thay vì lên cloud của Loom.

Bài học cho người làm app

Kết quả test 1 đáng giật mình hơn cả tốc độ: làm rối code hay biên dịch ra mã máy đều không giữ được bí mật. Key giả trong bản “đã làm rối” vẫn nằm đó dưới dạng chữ thường.

Nếu bạn đang giấu API key hay mật khẩu trong app, hãy chuyển nó về server bạn kiểm soát.

Khoan cài vội: 3 cái bẫy và ranh giới pháp lý

Bẫy 1: repo nhái mọc như nấm

Chỉ vài giờ sau khi REA lên trending, hàng loạt repo nhái xuất hiện, README copy y nguyên. Có tin đồn một số bản nhái chứa trojan.

README của REA nói rõ: tên giống hay README giống không chứng minh đó là bản chính chủ. Chỉ tải từ 3 nơi:

• GitHub: github.com/morluto/rea
• Trang chủ: rea.tools
• npm: gói rea-agents

Bẫy 2: tưởng cái gì cũng được mổ

REA ghi rõ mục đích: nghiên cứu hợp pháp, học tập, làm phần mềm tương thích, bảo tồn phần mềm cũ, và phân tích phần mềm bạn sở hữu hoặc được phép kiểm tra. Nó cũng nói không hỗ trợ bẻ DRM, bẻ khoá bản quyền, vượt anti-cheat, hay sao chép code và tài nguyên độc quyền.

Bài phân tích của The GenAI Magazine chia ra ba vùng, tóm tắt như sau:

Cũng theo bài này, chưa có toà án nào phán quyết riêng về việc dùng AI agent để dịch ngược. Làm việc cho công ty thì hỏi bộ phận pháp lý trước.

Bẫy 3: tưởng REA cho luôn IDA, Hopper

REA miễn phí, nhưng IDA Pro, Hopper, JEB là phần mềm trả phí. REA không cấp license hay key cho các tool này. Nếu chưa mua, hãy dùng Ghidra, vốn miễn phí.

Bỏ túi

Kênh Bỏ Túi AI có video 1 phút về REA: xem short tại đây.

Cài xong rồi làm gì? Đọc tiếp Cài REA rồi làm gì? 7 cách khai thác, có prompt xài ngay.