REA（Reverse Engineer Anything）とは？——AIエージェントにソフトの“中身調べ”を任せる無料ツール、できることと法的な注意点

「気に入ったアプリの機能が、どういう仕組みで動いているのか知りたい」。そんな調査をAIエージェントに任せるための道具が、GitHubで注目を集めています。開発者のmorluto氏が公開している「REA（Reverse Engineer Anything）」です。

REAは、Claude CodeやCodexといったAIエージェントに、ソースコード（設計図にあたる元のプログラム）がないソフトの中身を調べるための道具一式をつなぐ無料のオープンソースツールです。2026年10月18日16時45分（日本時間）には最新版v6.7.0がリリースされ、更新が非常に速いペースで続いています。

一方で、ソフトを分解して調べる「リバースエンジニアリング」は、使い方を誤ると契約違反や法律違反につながりかねない分野です。この記事では、REAで何ができるのか、どう試すのか、費用はどうなるのかに加えて、ビジネスで使う前に必ず押さえたい法的・倫理的な注意点を、公式情報をもとに整理します。

REAとは？——AIエージェントに「分解して調べる道具箱」を渡すツール
何を調べられるのか
対応するAIエージェントとつながり方（MCPとスキル）
公式Xで公開された紹介動画
インストールと試し方
料金：REA自体は無料、AIの利用料は使うモデル次第
ビジネスでのメリット
必ず押さえたい法律・倫理の注意点
安全に使うためのチェックポイント
開発の勢いと海外メディアの反応
まとめ
参考リンク

REAとは？——AIエージェントに「分解して調べる道具箱」を渡すツール

REAは、GitHubのリポジトリ「morluto/rea」で公開されているツールで、ライセンスはMITライセンス（商用を含め自由に使える代表的なオープンソースライセンス）です。READMEでは「See a feature you like. Understand how it works, down to the binary level.（気に入った機能を見つけたら、その仕組みをバイナリのレベルまで理解する）」と紹介されています。

身近にたとえると、REAは「腕のいい調査員（AIエージェント）に渡す、分解用の工具箱と記録ノート」のようなものです。AIエージェントがREAを通じて対象のアプリやプログラムを調べ、REAは見つかった事実を「根拠（エビデンス）」と「分からなかった点」とセットで返します。エージェントはその結果をもとに、仕組みを説明したり、自分のプロジェクト向けに似た機能を作ってテストしたりします。

公式READMEによると、分析は利用者のパソコン上（ローカル）で実行されます。ただし同じFAQで「エージェントはツールの結果を受け取り、そのモデル提供元には独自のデータポリシーがある」とも明記されています。つまり、REAが調べた結果は、エージェントが使うAIモデルの提供元（クラウド）に送られる可能性がある点に注意が必要です。

GitHub上のスター数（ブックマークのような「注目度」の指標）は、2026年10月21日16時（日本時間）に確認した時点で35万を超えています。作者のmorluto氏はX（旧Twitter）で、v6.7について「120人以上のコントリビューター、236件のマージ済みプルリクエスト」と投稿しており、多くの開発者が参加するプロジェクトになっています。

何を調べられるのか

公式READMEには、調査できる対象が一覧で載っています。主なものを抜粋すると次の通りです。深い分析には別の専門ツールが必要なものもあります。

調べる対象	REAが返す主な情報	必要なもの（公式READMEより）
ネイティブの実行ファイル（一般的なアプリ本体）	疑似コード、アセンブリ、文字列、関数の呼び出し関係など	Hopper、Ghidra、IDAのいずれか
JavaScript／Electronアプリ	モジュール構成、読み込み関係、画面と内部処理のやり取りなど	Node.jsとnpm（専用の解析エンジンは不要）
.NETアセンブリ	メタデータ、命令、依存関係など	追加ツールなし（静的分析のみ）
Webサイト	ページ構造、スクリプト、通信の観測結果、スクリーンショット	Chrome系のブラウザ
AndroidアプリのAPK	マニフェスト、クラス、メソッドなど	JADXとJDK
ファームウェア（機器に組み込まれたソフト）	領域、展開結果、ネイティブ分析への引き継ぎ	Linux上のBinwalk／Unblob
保存済みの通信記録（HARなど）	リクエスト、レスポンス、関係するソースの場所	HARまたはFiddler EverywhereのSAZファイルなど

このほかにも、SQLiteデータベース、WebAssembly、Linuxのクラッシュ記録、PyInstallerで固めたPythonアプリなど、READMEには20種類以上の対象が並んでいます。公式サイトの事例紹介（ショーケース）では、古いゲーム「DX-Ball」の音の左右バランス計算を再構成した例や、Notionのクリップボード連携の流れを追った例などが公開されています。

対応するAIエージェントとつながり方（MCPとスキル）

REAは「MCP（Model Context Protocol）」という仕組みでAIエージェントとつながります。MCPは、AIに外部の道具を差し込むための共通規格で、スマホに周辺機器をつなぐ「共通の差し込み口」のようなものです。REAのセットアップは、このMCP接続に加えて、調査の進め方をエージェントに教える「スキル」（作業手順書のようなもの）も一緒にインストールします。

公式のインストール文書（docs/installation.md）では、セットアップで自動設定できるエージェントとして次のものが挙げられています。

Claude Code、Claude Desktop（Anthropic）
Codex（OpenAI）
Cursor、Windsurf、VS Code、GitHub Copilot CLI
Gemini CLI、Antigravity（Google）
Grok Build、OpenCode、Devin、Qwen Code、Kimi Code、Hermes など

一覧には合計24の設定先が載っていますが、一部（Kimi Code、Qoder、Trae、DeepSeek Harnessなど）はrea-agents 6.5.0以降が必要と注記されています。一覧にないエージェントでも、ローカルのMCPサーバーに対応していれば手動で登録できます。REAは公式のMCP Registryにも「io.github.morluto/rea」として登録されています。

なお、スキルだけを入れる方法（npx skills add morluto/rea --skill reverse-engineer-anything）もありますが、公式文書によると、これは手順書を入れるだけで、MCPの登録や解析エンジンのインストールは行いません。通常は次に紹介するセットアップコマンドを使うのが基本です。

公式Xで公開された紹介動画

REAの公式Xアカウント（@reatools）は、2026年10月21日1時01分（日本時間）に、REAを使ってAIの練習用環境を作る新しい取り組み「REA Environments」の紹介動画を投稿しました。投稿文では、Scale AIのオープンソース「AgentEnv」フレームワークを使い、サイトやアプリ、ゲームをAIの強化学習用の環境に変えられると説明しています。

動画（約30秒）では、GrafanaやGitea、Vaultといった実在のアプリの操作を記録し、その中の通信を整理して、評価付きの環境として書き出す流れが画面で示されています。終盤には「50 ENVIRONMENTS」としてHugging Faceで公開中の環境一覧も映ります。一般のビジネス利用からは少し先の話題ですが、REAの活用範囲が広がっていることがわかります。

インストールと試し方

REAを使うには、まずNode.js（プログラムを動かすための土台ソフト）とnpmが必要です。公式READMEによると、対応バージョンはNode.js 22系（22.19以上）、24系（24.11以上）、または26以上です。そのうえで、ターミナル（黒い文字入力画面）で次のコマンドを実行します。

npx rea-agents@latest setup

実行すると、設定するエージェントを選ぶ画面が出て、どの設定ファイルをどう変更するかの計画が表示されます。承認するまで変更は行われず、既存の設定はバックアップされます。完了後、エージェントを再起動すれば使えるようになります。特定のエージェントだけを設定したい場合は、--client codexのように指定することもできます。

公式サイトの日本語ガイドには、エージェントに直接頼む方法も載っています。たとえば「npx rea-agents@latest setup を使って REA をインストールし、このコーディングエージェントに接続してください。まず変更内容を提示し、私が承認してから実行してください。」と入力する方法です。接続の確認にはnpx -y rea-agents@latest doctor --client codex --json（codexの部分は使うエージェントのIDに置き換え）を使います。

最初の練習として、公式ガイドではREAが用意した小さなサンプルアプリ（ノートを書き出すだけのElectronアプリ）を使い、「Export notesボタンを押すと何が起きるか」を調べる手順が紹介されています。自社ソフトで試す前に、まずこうした公式サンプルで動きを確かめるのが安心です。

ネイティブの実行ファイルを深く調べる場合は、Hopper、Ghidra、IDAのいずれかの解析ツールが別途必要です。JavaScriptや.NETの静的な調査なら、これらは不要です。

料金：REA自体は無料、AIの利用料は使うモデル次第

REA本体はMITライセンスのオープンソースで、無料で利用できます。ただし、実際の調査や説明を行うのはAIエージェントとその背後のAIモデルです。そのため、AIの利用料は、どのエージェントとモデルを使うかによって変わります。

Claude CodeやCodexなどは、各社の有料プランやAPI（使った分だけ払う方式）の契約が必要になる場合があります。公式ガイドでも、Claude Codeには対象のClaudeサブスクリプションか設定済みのAPIアカウントが必要と説明されています。
API従量課金の場合、調べる対象が大きいほど、AIが読む情報量が増えて費用がかさむ可能性があります。
解析ツールのうちGhidraは無料ですが、Hopper、IDA、JEBは商用ソフトです。READMEは、これらを正規に入手し、ライセンスに従って使う必要があると明記しています。REAはライセンスやキーを一切提供しません。

ビジネスでのメリット

REAの免責文書（DISCLAIMER.md）は、想定する正当な用途として、セキュリティ研究、マルウェアやインシデントの分析、相互運用性の確保、ソフトウェアの保存、自分が所有するか調査を許可されたソフトのデバッグや監査などを挙げています。中小企業や個人事業主にとっては、たとえば次のような場面が考えられます。

昔外注して作った自社ツールのソースコードが見当たらず、仕組みや不具合の原因を把握したいとき（権利関係を確認したうえで）
自社アプリの動きを、担当者が替わっても説明できるよう根拠付きで記録しておきたいとき
許可を得た範囲で、社内システムや取引先システムとの連携方法を調べたいとき
専門会社に依頼する前に、セキュリティ上気になる点の当たりを付けたいとき（許可された範囲に限る）

REAの特徴は、AIの「それっぽい説明」で終わらせず、どのファイルや関数を根拠にしたのかを示す点です。人が後から確認しやすい形で結果が残るのは、業務で使ううえで大きな利点です。

必ず押さえたい法律・倫理の注意点

リバースエンジニアリングは、技術的にできることと、やってよいことが一致しない分野です。REAを使う前に、次の点を必ず確認してください。

ソフトの利用規約（EULA）やライセンス：多くの市販ソフトやアプリは、利用規約でリバースエンジニアリングや逆コンパイルを禁止・制限しています。規約に反すると契約違反になるおそれがあります。
著作権法：調べた結果をもとに他社のプログラムのコードや画像・素材をそのまま、または実質的に写して使えば、著作権侵害になるおそれがあります。
不正競争防止法など：営業秘密の不正な取得・利用や、コピーガードなどの技術的な制限を回避する行為は、不正競争防止法などで問題になる場合があります。
他人のシステムへのアクセス：許可なく他人のサーバーやサービスを調べたり、認証を回避したりする行為は、不正アクセスにあたるおそれがあります。

REAの免責文書も、DRM（コピー防止）やライセンス認証、チート対策の回避、ゲームのチート開発、他人のシステムの認証回避、独自ソフトのコピーや保護されたコード・素材の再現には協力しないと明言しています。さらに「ソフトが公開されていることや、ファイルを持っていることだけでは、あらゆる操作の許可にはならない」「分析結果を得ても、元のプログラムや出力物の権利が得られるわけではない」とも書かれています。

結論として、REAは「自社で権利を持つソフト」か「権利者から調査の許可を得たソフト」にだけ使うのが原則です。判断に迷う場合や、調査結果を製品づくりに生かす場合は、事前に法務担当や弁護士などの専門家に相談してください。

安全に使うためのチェックポイント

入手先は公式だけ：READMEは、REAの入手先をGitHubのmorluto/rea、公式サイトrea.tools、npmのrea-agentsパッケージに限るよう注意しています。似た名前のサイトやコピーされたREADMEは公式の証明にならない、とも書かれています。
情報の行き先を確認：分析はローカルで行われますが、結果はAIモデルの提供元に送られる場合があります。社外秘のソフトを調べる前に、使うAIサービスのデータの扱いを確認しましょう。
動かす調査は慎重に：免責文書によると、一部の機能は対象のプログラムを実際に動かしたり、通信を記録したりします。素性の分からないソフトは、業務用パソコンではなく隔離した検証環境で扱いましょう。
結果をうのみにしない：免責文書は、逆コンパイルやAIによる分析は不完全または誤っている可能性があるとしています。重要な判断の前には、人が根拠を確認してください。
更新が速い：READMEは「REAは急速に変わる」として、こまめな更新を勧めています。リリースノートには互換性が変わる変更も含まれるため、業務で使う場合はバージョンを決めて検証してから使うと安心です。

AIエージェントに道具を足す考え方は、以前紹介したClaude Codeの「mod」とも共通しています。また、AIツールが攻撃に悪用される事例についてはサイバー攻撃まとめの続報でも取り上げました。便利な道具ほど、使う側のルールづくりが大切です。

開発の勢いと海外メディアの反応

GitHubの記録では、リポジトリの作成は2026年4月14日9時51分（日本時間）、GitHub上の最初のリリース（rea-0.2.0）は2026年7月12日11時57分（日本時間）です。10月に入ってからは4.1.0（10月7日）、6.0.0（10月8日）、6.4.0（10月11日）、6.7.0（10月18日）と、短い間隔で更新が続いています（いずれも日本時間）。

海外のテック系メディアも取り上げています（以下は二次情報です）。AiLookout.newsは10月12日の記事で、REAを「新しい逆コンパイラーではなく、既存の解析エンジンをエージェントから使うための層」と位置づけ、解析対象の許可と、クラウドのAIモデルに結果が渡る点への注意を促しました。FuturPulseは10月20日の記事で、REAは実用的なローカルの作業手順だが、復元したコードが正しいことを自動で保証するものではないと評価しています。

まとめ

REA（Reverse Engineer Anything）は、Claude CodeやCodexなどのAIエージェントに、MCPとスキルを通じて「ソフトの中身を調べる道具箱」を渡す無料のオープンソースツールです。セットアップはコマンド1つで始められ、調査結果には根拠と不明点が添えられます。ソースコードを失った自社ツールの把握や、許可を得た連携調査など、使い方次第で業務の助けになります。

一方で、REA本体は無料でも、AIモデルの利用料は使うサービス次第でかかります。何より、利用規約、著作権法、不正競争防止法などの制約があるため、自社のソフトか許可を得たソフトにだけ使うことが大前提です。まずは公式サンプルで試し、社内ルールを決めてから活用を検討しましょう。