REA (Reverse Engineer Anything) Nedir? GitHub'ı Sallayan Yapay Zekâ Tersine Mühendislik Aracı ve İşletmeler İçin Anlamı

Kısaca: REA (Reverse Engineer Anything), GitHub'da morluto/rea adresinde yayınlanan, MIT lisanslı açık kaynak bir proje. Bir MCP sunucusu ve komut satırı aracı olarak çalışıyor: Claude Code, Codex, Cursor, Gemini CLI gibi yapay zekâ kodlama ajanlarının derlenmiş (kaynak kodu olmayan) uygulamaları incelemesini, bir özelliğin uygulamada nasıl çalıştığını izlemesini ve bulgularını kanıtıyla birlikte raporlamasını sağlıyor. Proje birkaç hafta içinde GitHub'ın en çok yıldız alan depolarından biri oldu (InfoQ 17 Ekim'de 200 binin üzerinde yıldızdan söz etti; repo sayfasında yaklaşık 370 bin görünüyor). Ancak REA kaynak kodu kurtarmaz, çıktısı eksik bir harita olabilir ve yasal kullanım sorumluluğu kullanıcıdadır. Bu yazı, 23 Ekim 2026 itibarıyla resmî repo, InfoQ haberi ve bağımsız bir uygulamalı teste dayanır.

Son güncelleme: 23 Ekim 2026

Tersine mühendislik nedir?

Tersine mühendislik, kaynak kodu elinizde olmayan bir yazılımın nasıl çalıştığını, derlenmiş halinden (program dosyası, uygulama paketi, ağ trafiği, paketlenmiş JavaScript) çıkarma işidir. Güvenlik araştırması, eski sistemlerin belgelenmesi, uyumluluk (interoperability) çalışmaları ve yazılım korumanın test edilmesi gibi meşru amaçlarla yapılır. Geleneksel olarak uzmanlık, özel araçlar (Ghidra, IDA, Hopper gibi) ve uzun saatler gerektirir.

REA tam olarak ne yapıyor?

Resmî repoya göre REA, yapay zekâ ajanlarını tersine mühendislik araçlarına bağlayan bir katman:

• Ajan, REA'ya MCP üzerinden bir hedefi incelemesini söyler; REA analizi kullanıcının kendi bilgisayarında çalıştırır ve bulguları, dayanak kanıtlarıyla ve bilinen sınırlarıyla geri döndürür.
• Ajan bu bulgularla davranışı açıklar veya kod yazar.
• Statik JavaScript ve .NET incelemesi dosyaları çalıştırmadan okur; çalışma zamanı yakalama ise kullanıcının yetkileriyle hedefi çalıştırır veya onunla etkileşir.

Desteklenen hedefler (repo tablosuna göre): yerel (native) ikili dosyalar (Hopper, Ghidra veya IDA ile), JavaScript/Electron uygulamaları, .NET, Android APK'ları, web siteleri (sayfa yapısı, betikler, ağ gözlemleri), bellenim (firmware) ve ayrıca SQLite, HAR/pcap kayıtları, PyInstaller yürütülebilirleri gibi birçok biçim.

Kurulum npx rea-agents setup ile yapılıyor; Node.js 22.23.4+, 24.22.1+ veya 26.12.1+ gerekiyor. (Bu sürümler, bu hafta yayınlanan Node.js güvenlik güncellemelerinin düzeltilmiş sürümleri.)

Neden bu kadar ses getirdi?

• Hız ve erişilebilirlik: Daha önce uzman gerektiren işleri, bir yapay zekâ ajanı üzerinden çok daha az eforla başlatabilmek.
• Gösterilen örnekler: InfoQ'nun aktardığına göre Notion'un Electron uygulamasındaki pano (clipboard) uygulaması izlendi; DX-Ball oyunundaki bir ses dengeleme fonksiyonu yeniden kuruldu ve testler 3.205 orijinal x86 durumunun tamamıyla eşleşti; DOS oyunu Touhou 4'ün 16 bitlik kodundaki mermi halkası açı hesapları çıkarıldı.
• Sosyal medya etkisi: Yıldız sayıları kaynaklara göre farklı ve çok hızlı değişiyor (bir kaynakta Ekim ayı başında 10 binin altı, 14 Ekim'de 234 bin); kesin rakamlara temkinli yaklaşın.

Gerçekte ne kadar iyi? Bağımsız testten notlar

Bağımsız bir yazar REA 6.4.0'ı, açık kaynak bir Electron demo uygulamasında (12 Ekim 2026) denedi:

• JavaScript analizi 3,49 saniyede bitti; 79 dosyayı okudu, 245 bulgu üretti.
• Bulduğu 30 IPC işleminin (uygulama içi mesajlaşma) dosya ve satır konumlarının hepsi doğruydu; düz metin aramasının kaçırdığı bir kanalı bile buldu.
• Ancak bazı şeyleri kaçırdı: uygulamanın pencereye geri yanıt gönderdiği 8 yeri kaydetmedi; kodun yarattığı 8 pencereden yalnızca 1'ini saydı; nodeIntegration açık dört dosyayı özetinde göstermedi.
• Yazarın sonucu: bulgular doğru ve araç sınırlarını belirtiyor (“eksik bulgu yokluk anlamına gelmez”), ama çıktı kısmi bir harita olarak ele alınıp boşluklar elle doğrulanmalı. Bu tek uygulama ve tek sürümle sınırlı bir test; araç sık güncelleniyor.

Hacker News yorumcularından bir kısmı da REA'nın, bir ajana doğrudan Ghidra kurdurup kullandırmaya kıyasla ne kattığını sorguladı; bazıları ise önceki denemelerinden daha iyi sonuç aldığını yazdı. Yani tablo tek yönlü bir “mucize” değil.

Neleri yapmaz?

• Orijinal kaynak kodu geri getirmez. Davranışı anlamanıza yardım eder; birebir proje yapısı, yorumlar ve değişken adları geri gelmez.
• Hukuki izin vermez. Proje kendi açıklamasında aracın hukuka uygun araştırma, eğitim, birlikte çalışabilirlik, yazılımın korunması/arşivlenmesi ve kullanıcının sahibi olduğu ya da incelemeye yetkili olduğu yazılımın analizi için olduğunu belirtiyor; kırılmış lisanslar, çalıntı anahtarlar veya lisans atlatma yetkili değil.
• Her şeyi otomatik çözmez. Bazı özellikler belirli işletim sistemlerine veya ayrıca kurulması gereken araçlara (Ghidra, IDA, Hopper) bağlı.

İşletme sahibi için 5 çıkarım

1. Savunma tarafı: Uygulamanızın içini okumak artık daha kolay. İstemci tarafında (tarayıcı, mobil uygulama, masaüstü) bulunan her şeyin okunabilir olduğunu varsayın. Ayrıntılı önlemler için yazılımınızı korumak için 10 önlem yazımıza bakın.
2. Hukuk tarafı: Rakip uygulamayı incelemek ile kodu kopyalamak aynı şey değil; ama sınırlar sözleşmeye ve ülkeye göre değişir. Bkz. tersine mühendislik yasal mı?
3. Fırsat tarafı: Kaynak kodu elinizde olmayan kendi eski sisteminizi anlamak ve belgelemek için faydalı olabilir. Bkz. kaynak kodu olmayan eski yazılım rehberimiz.
4. Tedarikçi tarafı: Yazılım ajansınızın bu tür araçları nasıl kullandığını, verilerinizin ve kodunuzun hangi yapay zekâ servislerine gittiğini sorun; REA'nın kendi belgesi de modelin sağlayıcısının veri politikasının, ajana dönen araç sonuçlarına uygulandığını belirtiyor. Bkz. yapay zekâ kullanım politikası rehberimiz.
5. Kurulum güvenliği: Resmî repo, benzer isimli veya kopyalanmış README'li sahte depolara karşı uyarıyor ve resmî adresler olarak morluto/rea, rea.tools ve rea-agents npm paketini gösteriyor. Aynı hafta yaşanan LiteLLM saldırısı gibi olaylar, ajanlara bağladığınız her aracın bir güvenlik yüzeyi olduğunu hatırlatıyor.

Aktaş Digital olarak bakışımız

Yapay zekâ destekli araçlar, yazılım geliştirmede ve eski sistemleri anlamada gerçek bir hız sağlayabiliyor; ancak çıktılar doğrulanmadan güvenilmemeli ve kullanımı hukuki ve güvenlik çerçevesinde yapılmalı. Mevcut yazılımınızın nasıl çalıştığını belgelemek, modernleştirmek ya da korumasını gözden geçirmek isterseniz teklif formumuzdan ulaşabilirsiniz. İlgili hizmetlerimiz: web çözümleri ve yapay zekâ çözümleri.

Sık Sorulan Sorular

REA ücretsiz mi?

REA'nın kendi kodu MIT lisanslı ve açık kaynak. Ancak native analiz için kullanılan IDA Pro, Hopper, JEB gibi ticari araçların lisanslarını yasal yoldan edinmeniz gerekiyor; REA bu araçlar için lisans vermiyor. Ayrıca kullandığınız yapay zekâ ajanının/modelin kendi maliyetleri olabilir.

REA bir uygulamanın kaynak kodunu çıkarır mı?

Hayır. Proje kaynak kodu kurtarma iddiasında bulunmuyor; davranışı ve ilgili kod yollarını kanıtlarla göstermeye çalışıyor.

REA ile istediğim uygulamayı kopyalayabilir miyim?

Bu hem teknik olarak sınırlı hem de hukuken riskli olabilir. Proje yalnızca yetkili ve hukuka uygun kullanım için tasarlandığını belirtiyor. Ayrıntı için hukuki sınırlar yazımıza bakın ve bir hukukçuya danışın.

Uygulamam risk altında mı?

İstemci tarafına gönderilen her şey (paketlenmiş JavaScript, mobil uygulama içeriği, masaüstü uygulamaları) incelenebilir. Gizli anahtarlar, iş kuralları ve lisans kontrolleri sunucuda tutulmalı. Önlemler için 10 maddelik yazımıza bakın.

Sahte REA depoları var mı?

Resmî repo, benzer isimli depoların ve kopyalanmış README'lerin resmî olduğunu göstermediğini belirtiyor. Yalnızca morluto/rea, rea.tools ve rea-agents npm paketini resmî kaynak olarak kabul edin; bilinmeyen zip/exe indirmelerinden kaçının.

Sonuç

REA, yapay zekâ ajanlarının derlenmiş yazılımların içine bakmasını kolaylaştıran, hızlı yükselen ve tartışmalı bir araç: bağımsız testte doğru ama eksik sonuçlar verdi, kaynak kodu geri getirmiyor ve yasal sorumluluğu kullanıcıya bırakıyor. İşletmeler için asıl ders, istemci tarafındaki her şeyin okunabilir olduğunu varsayarak yazılım tasarlamak. Bugün yapabileceğiniz ilk iş: ürününüzün istemci tarafında (web, mobil, masaüstü) hangi gizli anahtar ve iş kurallarının bulunduğunu yazılım ekibinizden listelemesini istemek.