Ingeniería inversa con IA: cómo usar REA dentro de la ley

Qué es la ingeniería inversa con IA de REA

La ingeniería inversa con IA es lo que hace REA (Reverse Engineer Anything): conecta tu agente de programación con herramientas de análisis para descubrir cómo funciona una app por dentro, incluso sin el código fuente. El proyecto es de código abierto, está en GitHub bajo licencia MIT y superó las 380.000 estrellas en poco más de seis meses.

La promesa es real, pero tiene contexto. REA no es un botón mágico que copia software: recopila evidencias (fragmentos de código, referencias y puntos que aún no se han entendido) y se las entrega al agente de IA, que explica, implementa y prueba. Además, el propio proyecto prohíbe varios usos, y la ley brasileña tiene reglas claras sobre lo que está permitido.

En esta guía entenderás qué hace la herramienta, cómo instalarla, qué analiza, qué dice la Ley de Software y cómo aplicarlo en tu negocio sin meterte en problemas.

Puntos clave

• REA es un servidor MCP que conecta agentes como Claude Code, Codex, Cursor y Gemini CLI con herramientas de análisis.
• La instalación es un único comando vía npm y requiere Node.js 22 o posterior.
• Analiza binarios nativos, apps JavaScript y Electron, .NET, APKs de Android, sitios web y firmware.
• El DISCLAIMER del proyecto prohíbe eludir DRM, licencias y anticheat o copiar software propietario.
• En Brasil, la Ley 9.609/1998 permite la similitud funcional y la integración indispensable para uso propio, pero sanciona la violación de derechos de autor.

REA en cifras: por qué el proyecto explotó

El repositorio de REA en GitHub se creó el 14/04/2026 y se publica con licencia MIT, una licencia permisiva que autoriza usar, modificar y redistribuir el código. La descripción oficial resume la propuesta: hacer ingeniería inversa de cualquier cosa con agentes de IA, desde el comportamiento de la app hasta el binario nativo.

El crecimiento llama la atención. El 12/10 el proyecto tenía unas 130 mil estrellas; el 26/10/2026 ya eran 384.512 estrellas y 96.234 forks. La versión más reciente es rea-agents 6.8.0, del 25/10/2026, distribuida por npm.

Este interés acompaña una tendencia que ya comentamos en la lista de apps que la IA ya puede rehacer: cuando los agentes logran entender un software desde fuera, reconstruir funcionalidades resulta mucho más barato.

Cómo funciona la ingeniería inversa con IA en REA

REA es un servidor MCP. MCP (Model Context Protocol) es un estándar que permite a un agente de IA llamar a herramientas externas de forma organizada. En la práctica, REA se convierte en una caja de herramientas que tu agente de programación empieza a usar: Claude Code, Codex, Cursor, Gemini CLI, Grok Build y otros.

El flujo tiene cuatro etapas: le preguntas al agente cómo funciona algo, REA inspecciona y rastrea el objetivo con herramientas locales, el agente lee las evidencias devueltas y luego usa lo que aprendió para explicar, implementar y probar.

Quién hace qué

La división del trabajo es el punto más importante para entender la herramienta:

• REA recopila evidencias: código, referencias y puntos desconocidos, es decir, lo que aún no se ha aclarado.
• El agente de IA interpreta esas evidencias, explica el comportamiento y escribe una implementación propia.
• Tú validas el resultado y decides qué hacer con él.

Que REA enumere explícitamente los puntos desconocidos es una buena práctica: reduce el riesgo de que el agente invente una explicación plausible, pero errónea.

La propuesta del proyecto es que el agente inspeccione la app sin el código fuente, explique cómo funciona una función, muestre la evidencia y arme una versión para tu proyecto.

Cómo instalar REA paso a paso

La instalación es sencilla para quien ya usa Node.js. Sigue estos pasos:

1. Comprueba que tienes instalado Node.js 22 o posterior.
2. Ejecuta el comando de setup del paquete rea-agents.
3. Conecta REA al agente de programación que ya usas (Claude Code, Cursor, Codex, etc.).
4. Para analizar binarios nativos, instala por separado una de las herramientas compatibles: Hopper, Ghidra o IDA, que son programas de desensamblado y descompilación.

# verifique a versão do Node (precisa ser 22 ou superior)
node --version

# instale e configure o REA
npx rea-agents setup

El paquete está publicado en npm como rea-agents, así que npx descarga y ejecuta la versión más reciente sin instalación global.

Atención a los datos que salen de tu equipo

El análisis se ejecuta localmente, pero el agente envía los resultados al proveedor del modelo de IA, que tiene su propia política de datos. Si analizas un sistema interno con información sensible, fragmentos de él terminarán en los servidores del proveedor. Antes de usarlo en software de la empresa, lee la política de tu proveedor y evalúa el impacto en los acuerdos de confidencialidad y en la LGPD.

Qué puede analizar REA

La lista de objetivos compatibles es amplia:

• Binarios nativos, con Hopper, Ghidra o IDA instalados por separado.
• Apps JavaScript y Electron, formato común en aplicaciones de escritorio modernas.
• Assemblies .NET, usados en muchos sistemas corporativos para Windows.
• APKs Android, el paquete de instalación de las apps del sistema.
• Sitios web.
• Firmware, el software integrado en dispositivos.

Para mostrar lo que es posible, el proyecto publica casos de uso en la vitrina oficial de REA. Los tres destacados son: el cálculo de sonido del juego DX-Ball reconstruido en C, superando 3.205 casos comparados con el x86 original; el portapapeles de Notion; y un cálculo del juego TH04, de PC-98.

El caso de DX-Ball ilustra bien el método: no basta con que el agente escriba un código parecido. La nueva versión en C se probó contra el comportamiento del programa original en miles de situaciones, y eso es lo que da confianza de que la lógica realmente se entendió.

Ingeniería inversa con IA y la ley brasileña

Antes que nada, lee el DISCLAIMER oficial de REA. Prohíbe eludir DRM (sistemas de protección contra copia), verificaciones de licencia y anticheat, copiar software propietario y reproducir código y recursos protegidos. El uso previsto es para investigación, seguridad, educación, interoperabilidad, preservación y software propio o autorizado.

En Brasil, la referencia es la Ley 9.609/1998, la Ley del Software. Dos artículos importan aquí:

• Art. 6º: no considera infracción la semejanza entre programas causada por características funcionales ni la integración técnicamente indispensable para uso propio.
• Art. 12: prevé detención de seis meses a dos años o multa para quien viola el derecho de autor de un programa, y reclusión de uno a cuatro años cuando la reproducción tiene fines comerciales.

Entender cómo funciona un recurso y construir el tuyo desde cero es un camino. Copiar código, recursos o protecciones de terceros es otro, y la ley trata ambos de forma muy diferente.

Uso	Posición del DISCLAIMER de REA	Punto de atención en la ley
Analizar el software de la propia empresa	Permitido (software propio)	Sin conflicto de autoría
Integrar sistemas para uso propio	Permitido (interoperabilidad)	El Art. 6º admite la integración indispensable
Crear un recurso con función parecida	Permitido si no se copia código	El Art. 6º admite la semejanza funcional
Investigación, educación y preservación	Permitido	Evalúa caso por caso
Eludir DRM, licencia o anticheat	Prohibido	Riesgo de violar el derecho del titular
Copiar código o recursos protegidos	Prohibido	Art. 12: detención o reclusión

Este contenido es informativo y no sustituye la asesoría jurídica. Si el proyecto implica un producto comercial basado en software de terceros, consulta con un abogado especializado en propiedad intelectual.

El caso ArtCraft y la sala limpia

REA apareció en el Reel sobre ArtCraft, que reúne 12 programas clonados mediante la técnica de sala limpia (clean room): un equipo describe el comportamiento del software original y otro escribe el código nuevo sin acceso al código de origen. Hablamos del proyecto en el post sobre el clon gratuito de Photoshop de ArtCraft.

Sin embargo, nada público vincula ArtCraft con REA. La asociación se hizo en el video, no por parte de los proyectos. Queda la lección de método: documentar el comportamiento y reimplementar es muy diferente de copiar.

Usos prácticos en tu negocio

Con los límites claros, quedan aplicaciones legítimas y valiosas:

1. Entender un recurso antes de construir el tuyo. Si un competidor tiene una función de exportación que tus clientes adoran, el agente puede explicar la lógica y tú implementas tu propia versión, sin copiar código.
2. Auditar el software de la empresa. Los equipos de seguridad pueden examinar lo que realmente hace una app interna o un binario entregado por un proveedor, dentro de lo que permite el contrato.
3. Recuperar la lógica de un sistema antiguo sin código fuente. Ese sistema heredado en .NET cuyo proveedor desapareció puede tener su regla de cálculo reconstruida y probada, como en el caso de DX-Ball.

Un checklist rápido antes de empezar: confirma que tienes derecho a analizar el objetivo, revisa el contrato o la licencia del software, evalúa qué datos van al proveedor de IA y registra el proceso, separando lo observado de lo implementado.

Preguntas frecuentes

¿REA es gratuito?

Sí, el código de REA es abierto y está publicado bajo licencia MIT. Lo que puede tener costo es el agente de IA conectado a él, que depende del plan del proveedor que ya utilizas, y herramientas como IDA o Hopper, que se instalan por separado.

¿Es delito hacer ingeniería inversa en Brasil?

No necesariamente: la Ley 9.609/1998 no considera infracción la semejanza por características funcionales ni la integración técnicamente indispensable para uso propio. El delito consiste en violar el derecho de autor del programa, con una pena mayor cuando la reproducción tiene fines comerciales.

¿REA funciona sin el código fuente de la app?

Sí, esa es la propuesta central del proyecto. Inspecciona la app compilada o publicada y devuelve evidencias para que el agente explique su comportamiento y construya una versión propia.

¿Los datos analizados se quedan solo en mi computadora?

No del todo. El análisis se ejecuta localmente, pero el agente envía los resultados al proveedor del modelo de IA, que sigue su propia política de datos. Por eso, ten cuidado con sistemas que contienen información sensible.

¿Puedo usar REA para quitar la licencia de un programa?

No. El DISCLAIMER del proyecto prohíbe eludir DRM, verificaciones de licencia y anticheat, y este tipo de uso puede constituir una violación de derechos de autor según la Ley de Software.

Conclusión

REA ha hecho que la ingeniería inversa con IA sea accesible para cualquier desarrollador con Node.js y un agente de programación. No copia software: recopila evidencias para que la IA las explique y reimplemente. El límite está en el propio DISCLAIMER y en la Ley 9.609/1998: entender e integrar para uso propio es una cosa; copiar código o eludir protecciones es otra.

Recomendación para hoy: elige un sistema heredado de tu propia empresa, sin datos sensibles, y usa REA para documentar una regla de negocio que ya nadie sabe explicar. Es la forma más segura de probar la herramienta y obtener algo útil desde el principio.