Reverse Engineer Anything (REA): alles wat je moet weten
REA is een open-source MCP-server waarmee AI-agents zoals Claude Code, Codex en Cursor software kunnen decompileren, analyseren en nabouwen zonder de broncode. Binnen dagen van 10.000 naar 110.000 GitHub-sterren.
Wat is Reverse Engineer Anything (REA)?
REA is een open-source tool die AI-agents koppelt aan professionele reverse-engineeringsoftware, zodat een agent zelfstandig kan uitzoeken hoe een programma werkt. De tool is gemaakt door een ontwikkelaar met de schuilnaam morluto en staat op GitHub als morluto/rea.
Technisch is REA een MCP-server. MCP (Model Context Protocol) is de standaard waarmee een AI-agent externe tools kan bedienen. REA bundelt bestaande koppelingen en maakt ze met één installatiecommando bruikbaar.
De kern in één zin: REA laat een AI-agent machinecode terugvertalen naar leesbare code, het gedrag van een programma volgen en die logica opnieuw bouwen in een eigen project.
Hoe werkt REA precies?
REA verbindt een AI-agent met drie bekende reverse-engineeringtools: Ghidra (ontwikkeld door de Amerikaanse NSA), IDA Pro en Hopper. De agent doorloopt daarmee vier stappen:
- Decompileren: machinecode wordt teruggezet naar leesbare code.
- Analyseren: de agent volgt wat het programma doet terwijl het draait.
- Bewijs tonen: de agent laat zien waarop de conclusies gebaseerd zijn.
- Nabouwen: de gevonden logica wordt opnieuw geschreven in een eigen project.
Het voorbeeld uit de handleiding: de agent onderzoekt de zoekfunctie van de Notities-app en bouwt een vergelijkbare functie na.
Welke AI-agents werken met REA? Claude Code (Anthropic), Codex (OpenAI), Cursor, Gemini CLI (Google) en Grok Build.
Welke software kan REA analyseren? Windows- en Mac-programma's, Electron-apps, .NET-software, Android-apps, websites en firmware.
Draait alles lokaal? Nee. De analyse draait op je eigen computer, maar codefragmenten gaan naar de AI-aanbieder van de agent.
Waarom is REA nu zo populair?
REA groeide in oktober 2026 uit tot een van de snelst stijgende projecten op GitHub, omdat het geavanceerde reverse engineering ineens toegankelijk maakt voor iedereen met een AI-agent.
| Moment | Wat er gebeurde |
|---|---|
| 6 oktober 2026 | Minder dan 10.000 GitHub-sterren |
| 7 oktober 2026 | Officiële publicatie van REA |
| 10–11 oktober 2026 | Circa 25.000 nieuwe sterren per dag |
| Medio oktober 2026 | Ruim 110.000 sterren en meer dan 30.000 forks; bovenaan de GitHub-trendlijst |
Daarnaast trok de tool aandacht door spraakmakende voorbeelden. Kort na de lancering verschenen browserversies van klassieke games als Half-Life en GTA V. De GTA-versie was binnen enkele uren offline. Volgens Destructoid overwogen Rockstar, Activision en Bethesda juridische stappen. Niet bij elk project is duidelijk of REA is gebruikt.
Is de techniek nieuw? Nee. Koppelingen als GhidraMCP en IDA Pro MCP bestaan al sinds 2025. Nieuw is dat REA ze bundelt en vereenvoudigt. Reverse engineer Elias Bachaalany vatte de hype samen in één woord: "Hype."
Waarvoor mag je REA gebruiken?
Volgens de makers is REA bedoeld voor onderzoek, onderwijs, interoperabiliteit, het bewaren van oude software en het analyseren van eigen of toegestane programma's. Cracks en gestolen licentiesleutels zijn uitdrukkelijk verboden.
- Security-onderzoek: begrijpen wat onbekende software of firmware doet.
- Legacy-software: oude programma's zonder documentatie of broncode doorgronden en moderniseren.
- Interoperabiliteit: eigen software laten samenwerken met een gesloten systeem.
- Onderwijs: leren hoe professionele software is opgebouwd.
Hoe goed zijn AI-agents hierin? Een indicatie: reverse engineer Maurice Heumann liet tientallen Claude Code- en Codex-agents een schietspel reconstrueren. Ze bouwden 99% van de functies na in C++; 83% kwam na compilatie byte voor byte overeen met het origineel. Heumann gebruikte daarvoor wel de officiële MCP-koppeling van Hex-Rays, niet REA.
Is reverse engineering met REA legaal?
Dat hangt af van het doel en het land. In Europa mag je software decompileren voor interoperabiliteit; een functie nabouwen valt daar niet onder.
| Regio | Wat geldt er? |
|---|---|
| Europa / Nederland | Decompileren voor interoperabiliteit is toegestaan (Softwarerichtlijn 2009/24/EG, Auteurswet). Licentieclausules die dit verbieden zijn nietig. Nabouwen van functies valt hier niet onder. |
| Verenigde Staten | Verboden op reverse engineering in licentievoorwaarden zijn afdwingbaar (Bowers v. Baystate, 2003). |
Wat is het clean-room-probleem? Bij een klassieke clean-room-aanpak analyseert het ene team en bouwt een ander team. REA laat één agent beide doen. Op Hacker News werd dat "het witwassen van intellectueel eigendom" genoemd.
Wat zijn de risico's en beperkingen van REA?
- Datalek of contractbreuk: codefragmenten gaan naar de AI-aanbieder (Anthropic, OpenAI, Google). Analyse van software onder geheimhouding kan zo een NDA schenden.
- Kwetsbare bedrijfsapps: Electron-apps zoals Slack, Discord en Visual Studio Code zijn extra blootgesteld, omdat hun code op de computer van de gebruiker staat. Experts adviseren waardevolle logica op de eigen server te houden.
- Technische grenzen: zwaar geobfusceerde en versleutelde software blijft lastig voor AI-agents.
- Te veel tools: Duncan Ogilvie (maker van IDA Pro MCP en x64dbg) betwijfelt of een model beter presteert met tientallen tools tegelijk.
Hoe begin je verantwoord met REA?
Installeren kost één commando via de repository morluto/rea op GitHub; de handleiding en gebruiksvoorwaarden staan daar ook. Doorloop vooraf deze checklist:
- Analyseer alleen software die van jou is of waarvoor je toestemming hebt.
- Check de licentievoorwaarden en het toepasselijke recht (EU of VS).
- Stuur geen code onder NDA naar een externe AI-aanbieder.
- Leg vast waarom je analyseert, bijvoorbeeld voor interoperabiliteit of security.
- Werk je aan eigen software? Houd kritieke logica op de server.
Veelgestelde vragen over REA
›Wie heeft REA gemaakt?
Een ontwikkelaar met de schuilnaam morluto, die REA op 7 oktober 2026 publiceerde.
›Is REA gratis?
REA is open source en staat op GitHub. Je betaalt wel voor de AI-agent die je eraan koppelt.
›Waar staat REA voor?
Reverse Engineer Anything.
›Heb ik de broncode van een programma nodig?
Nee. REA werkt op gecompileerde software, zoals een .exe, app of firmware.
›Kan REA elk programma ontleden?
Niet altijd. Software met zware obfuscatie of versleuteling blijft lastig.
›Wat moeten softwarebedrijven nu doen?
Waardevolle logica zoveel mogelijk op de server houden in plaats van in de client-app.
Dit artikel verscheen eerder op ai.nl. De handleiding en gebruiksvoorwaarden van REA staan in de GitHub-repository morluto/rea.
Job van den Berg is AI keynote spreker, tech-ondernemer en auteur van vijf boeken over AI. Hij zet wekelijks zelf agents in productie en geeft 150+ keynotes per jaar over AI-agents en agentic commerce.
Nee, strenger controleren maakt AI-agents niet automatisch veiliger. Volgens Gans & Holden (NBER, 2026) werken onwijzigbare logbestanden, onvoorspelbare audits en het belonen van eerlijk gedrag beter.
Het korte antwoord: door op elk moment te kunnen zeggen wat elke agent doet, op welk model hij draait, met welke data hij werkt en sinds wanneer. Wie dat niet weet, kan een agent niet veilig noemen, hoe goed de techniek eromheen ook is. Dat overzicht leg je vast in een paspoort per agent, dat je bijhoudt bij elke wijziging en elk kwartaal reviewt. Hieronder hoe dat werkt en waarom het meer is dan administratie.
Slimme AI-agents hebben een betrouwbaar datafundament nodig. Over identity resolution, Customer 360, data orchestration en governance: van single source of truth naar system of context.
Topbrein, werkpaard of sprinter? Zo kies je per taak het juiste AI-model en combineer je kwaliteit, snelheid en kosten met slimme orchestratie van AI-agents.