앱을 통째로 복사한다? 화제의 오픈소스 REA 정리 + 직접 써보는 법

REA가 새로운 점은 이 도구들을 사람이 아니라 AI 에이전트가 쓰게 해준다는 거예요. 영상에서 보여준 구조를 정리하면 이렇습니다.

에이전트가 "그림판의 붙여넣기는 어떻게 동작하지?" 같은 질문을 받으면, REA를 통해 분석 도구를 직접 돌리고 결과를 읽은 다음 설명하거나 코드를 짭니다. 결과에는 근거(어느 함수, 어느 주소)와 한계(확인 못 한 부분)가 같이 붙어 나오는 게 특징이에요.

안에 든 도구는 전부 원래 있던 것

영상에서 강조한 포인트 중 하나예요. REA가 마법의 새 엔진을 만든 게 아니라, 이미 있던 도구들을 AI가 쓰기 좋게 묶은 것입니다.

• Ghidra: 미국 국가안보국(NSA)이 20년 가까이 내부에서 쓰다가 2019년에 오픈소스로 공개한 무료 분석 도구
• Hopper: 맥에서 많이 쓰는 유료 디스어셈블러(데모 모드 있음)
• IDA Pro: 업계 표준급 유료 도구
• Chrome 브라우저: 웹사이트 구조·스크립트·네트워크 관찰용

분석할 수 있는 대상

이 밖에도 Go·Rust 바이너리, WASM, SQLite 파일, 펌웨어 등 범위가 꽤 넓어요.

원래 있던 AI 리버싱 MCP와 뭐가 다른가

Ghidra나 IDA를 AI에 연결하는 MCP는 전에도 있었어요. 영상과 문서를 종합하면 REA의 차이는 세 가지입니다.

1. 도구 하나가 아니라 여러 도구를 한 MCP로 묶음: 실행 파일, 웹, 앱, APK를 같은 방식으로 다뤄요.
2. 조사 순서를 잡아주는 '스킬'이 같이 설치됨: 에이전트가 무작정 뒤지지 않고 정해진 흐름대로 조사해요.
3. 설치가 명령어 한 줄: 전문가가 아니어도 시작할 수 있어서, 영상에서는 "전문가용이라기보다 일반인·바이브 코더용"이라고 평가했어요.

2. 영상 속 실험: 윈도우 그림판 다시 만들기

영상의 하이라이트는 윈도우 그림판을 리버스 엔지니어링해서 다시 만든 것이에요.

• 깃허브 링크를 Claude Code에 붙여넣고 설치까지 맡긴 뒤
• 그림판을 분석시켜 다시 만들고
• 원래 그림판에는 없는 기능(붙여넣은 그림이 차곡차곡 쌓이는 '에셋 리스트' 패널)까지 붙였는데
• 여기까지 걸린 시간이 약 11분이었다고 합니다.

해외에서는 실제 기기를 조종하는 앱, 서로 다른 게임을 섞은 결과물, 웹사이트 분석 사례 등이 공유되고 있어요. 공식 사이트에 올라온 사례 중에는 이런 것도 있습니다.

• DX-Ball(고전 벽돌깨기 게임): 효과음 좌우 위치 계산 함수를 C 코드로 복원했는데, 원본 x86 테스트 3,205개를 모두 통과하고 컴파일된 63바이트까지 똑같이 재현
• 노션: 복사·붙여넣기가 화면 → 프리로드 → 메인 프로세스로 어떻게 전달되는지 추적
• TH04(PC-98 시절 게임): 16비트 명령어에서 탄막 각도 계산식을 복원

3. 후기 모아보기: 정말 "소프트웨어는 끝났나"?

여기저기 후기를 찾아보니 반응이 꽤 갈려요.

👍 기대하는 쪽

• "보고 싶은 기능을 가진 앱이 있으면, 그게 어떻게 돌아가는지 근거까지 보여준다"는 점이 가장 많이 언급돼요.
• 설치가 한 줄이고 여러 에이전트(20개 이상)를 지원해서 진입 장벽이 낮다는 평가가 많아요.
• 해외 개발자 커뮤니티 daily.dev 반응 분석 기준으로 긍정 45%, 반반 30%, 회의적 25% 정도로 집계됐어요.

🤔 회의적인 쪽

• "앱을 통째로 복사"하는 도구는 아니에요. REA는 원본 소스 코드를 돌려주지 않아요. 기계어를 거꾸로 풀어낸 의사코드라 원본과 다를 수 있고, 에이전트 설명이 그럴듯해도 틀릴 수 있다는 지적이 많아요. 그래서 '근거와 모르는 부분'을 같이 보여주는 설계가 중요하다는 거죠.
• 스타 수가 실제 사용량을 반영하느냐는 의문도 있어요. 같은 시기 npm 주간 다운로드는 스타 수에 비해 훨씬 적었다는 보도가 있었어요.
• 국내 유튜버 '개발동생'은 직접 만든 맥 앱을 소스 없이 주고 REA를 붙인 에이전트 vs 안 붙인 에이전트를 같은 조건(같은 모델, 10분)으로 비교했어요. 결과는 둘 다 16개 테스트를 전부 맞힘. REA 없는 쪽도 Ghidra를 직접 실행해서 풀었다고 해요. 결론은 "REA의 강점은 분석 도구를 바로 부르게 해주고 조사 순서를 잡아주는 것"이었습니다. (본인도 작은 앱 하나로 한 실험이라 참고용이라고 밝혔어요.)

성공지식백과 영상의 결론도 비슷해요. REA 없이도 요즘 에이전트는 리버스 엔지니어링을 어느 정도 해낸다, 다만 이런 도구가 대중화되면 핵심 로직은 앞으로 사용자 컴퓨터가 아니라 서버 쪽으로 옮겨갈 것이라는 전망이에요. 앱 안에 들어 있는 건 누구나 뜯어볼 수 있게 되니까요.

4. 직접 해보기: 단계별 사용법

아래는 공식 문서 기준 방법이에요. 처음이라면 4-6의 Electron 앱 분석이 추가 도구 없이 가장 쉽게 해볼 수 있어요.

4-1. 준비물 확인

• Node.js: 22.19 이상(22.x) 또는 24.11 이상(24.x), 또는 26 이상. 23, 25 버전은 지원하지 않아요.
• npm (Node.js 설치 시 같이 들어옴)
• AI 코딩 에이전트: Claude Code, Codex, Cursor, Gemini CLI, Claude Desktop, VS Code, Windsurf 등

터미널에서 버전부터 확인하세요.

4-2. REA 설치 (방법 A: 명령어 한 줄)

1. 사용 중인 에이전트를 고르고
2. 바뀔 설정 내용을 확인한 뒤 승인하고 (기존 설정은 자동 백업돼요)
3. 에이전트를 재시작하면 끝이에요.

4-2. REA 설치 (방법 B: 영상 방식, 에이전트에게 맡기기)

영상처럼 Claude Code에 그냥 이렇게 말해도 돼요.

⚠️ 공식 문서가 직접 경고하는 부분이 있어요. 이름이 비슷한 가짜 저장소나 README를 복사한 사이트가 있으니 반드시 morluto/rea, rea.tools, npm의 rea-agents 패키지에서만 받으세요.

4-3. 분석 엔진 준비 (일반 실행 파일을 분석할 때만)

Electron 앱, .NET, 웹사이트만 볼 거라면 건너뛰어도 돼요.

• 맥: setup 과정에서 Hopper 설치를 제안해요(승인 시 설치). 처음 실행할 때 데모 모드/라이선스 선택 창이 뜨면 먼저 직접 처리해 두세요.
• 무료로 하고 싶다면 Ghidra: Ghidra 12.1.x와 JDK 21 이상을 직접 받아 압축을 풀고, 경로를 알려주면 돼요. (setup은 Ghidra나 Java를 대신 설치해 주지 않아요.)

맥·리눅스:

윈도우(PowerShell):

참고로 윈도우용 Ghidra 연동은 아직 실험 단계(읽기 전용)예요. 애플 실리콘 맥에서는 Rosetta로 돌아가는 x86용 JDK를 쓰면 검사에서 떨어지니, ARM용 JDK를 쓰세요.

4-4. 잘 설치됐는지 점검

rea 명령을 계속 쓰려면 전역 설치를 해두면 편해요.

특정 부분만 확인하고 싶을 때는 이렇게요.

4-5. 에이전트에게 일 시키기

공식 README의 예시 프롬프트 형식이에요. 앱 이름과 기능만 바꿔서 쓰면 됩니다.

조금 더 잘 쓰는 팁이에요.

• 기능 하나만 콕 집어서 물어보세요. "앱 전체 복사해줘"보다 "이미지 붙여넣기 처리 과정"처럼 좁을수록 정확해요.
• "근거와 확실하지 않은 부분을 구분해서 알려줘"를 붙이면 결과를 검증하기 쉬워요.
• 결과로 만든 코드는 반드시 직접 테스트하세요. 의사코드 기반이라 틀릴 수 있어요.

4-6. 가장 쉬운 실습: Electron 앱 구조 보기

분석 엔진 없이 바로 해볼 수 있어요. 앱 폴더나 .asar 파일 경로를 넣으면 모듈·IPC 구조를 JSON으로 보여줍니다.

윈도우라면 경로를 "D:/apps/example"처럼 쓰면 돼요.

4-7. 업데이트와 삭제

REA는 업데이트가 아주 잦아서, 문제가 생기면 먼저 업데이트부터 하라고 안내하고 있어요.

지우고 싶을 때는 아래 명령이에요. Hopper, Node.js 같은 다른 프로그램은 건드리지 않아요.

5. 꼭 알아야 할 주의사항

영상, 공식 문서, 국내 후기가 모두 공통으로 강조한 부분이에요.

• REA의 MIT 라이선스는 REA 도구 자체에 대한 것이에요. 분석하는 앱의 권리와는 별개입니다.
• 상업용으로 판매되는 앱을 분석해서 똑같이 만들어 파는 건 불법이에요. 영상에서도 "다시 만든 앱은 개인 공부용으로만"이라고 여러 번 말해요.
• 우리나라 저작권법은 정해진 목적과 조건(예: 호환성 확보)을 갖춘 경우에만 허락 없이 프로그램을 역분석할 수 있게 하고 있어요(제101조의3, 제101조의4). 상용 앱이라면 약관과 법 조건부터 확인하세요.
• REA 공식 입장도 DRM·라이선스 검사·안티치트 우회, 남의 코드·에셋 복제, 허가받지 않은 시스템 침투에는 쓰지 말라는 거예요. 크랙 버전 IDA나 Hopper를 쓰는 것도 허용하지 않아요.
• 분석은 내 컴퓨터에서 이뤄지지만, 결과는 에이전트의 AI 회사로 전송돼요. 회사 내부 프로그램을 분석한다면 보안 정책을 먼저 확인하세요.

안전하게 연습하는 방법: 내가 직접 만든 앱, 소스가 공개된 오픈소스 앱, 또는 공식 사례(DX-Ball 등)를 따라 해보는 걸 추천해요.

6. 그래서 누구에게 쓸모 있을까

• 바이브 코더·1인 개발자: "저 앱의 이 기능 좋은데 어떻게 만든 거지?"를 근거와 함께 이해하고 내 방식으로 구현할 때
• 개발자: 문서 없는 레거시 프로그램, 오래된 내부 도구의 동작을 파악할 때
• 보안·CTF 공부하는 분: Ghidra 같은 도구 사용법을 에이전트와 함께 익힐 때
• 기획자·창업자: 우리 서비스의 핵심 로직을 앱 안에 그대로 둬도 괜찮은지 다시 생각해 볼 때

개인적인 정리로는, "소프트웨어는 끝났다"는 건 과장이지만 "앱 안에 넣어둔 건 더 이상 비밀이 아니다"는 건 사실에 가까워 보여요. 직접 써보신 분 있으면 후기 댓글로 공유해 주세요!

참고한 자료

• 성공지식백과, 「소프트웨어는 끝났다? 앱 통째로 복사하는 미친 오픈소스.. ㄷㄷ」: https://youtu.be/tByhXkxDKDo
• REA 공식 저장소 README·설치 문서: https://github.com/morluto/rea
• REA 공식 사이트·사례: https://rea.tools/showcase/
• 개발동생, 「소프트웨어는 끝났다는 REA 직접 검증해봤습니다」: https://www.youtube.com/watch?v=rwCDPZP_Zk4
• Developers Digest, REA 해설: https://www.developersdigest.tech/blog/reverse-engineer-anything-rea-mcp-agents-guide-2026
• daily.dev, REA 커뮤니티 반응: https://daily.dev/posts/rea-hit-120k-stars-in-a-week-and-nobody-s-asking-permission-9pxzfdci8
• AICoder, REA 4.1.0 소식: https://aicoder.com/news/news-20261008-rea-reverse-engineer-anything-mcp-agents