台灣團隊什麼時候該用 REA：舊系統介面重建、交接文件補齊、內部資安稽核的成本試算與限制

舊系統介面重建、交接文件補齊、資安稽核：三個台灣團隊真實場景與 REA 的分工

前幾章談工具與原理，這一章換成台灣辦公室真正會發生的事。以下三種狀況幾乎每家中型企業都遇過，共同點是「沒人留下文件」。

舊系統介面重建。客戶交來一套還在跑的核心系統，原始碼早已不知去向，合約卻要求新系統要能對接。若它是 JavaScript 或 Electron 寫的，REA 不用付費工具，裝好 Node.js 就能把模組、路由與行程間通訊（IPC，程式內部互相傳話的通道）整理成介面依據。

交接文件補齊。離職同事留下的 .NET 內部工具沒有半份說明書。.NET 組件走純靜態分析，免額外引擎，REA 會回傳 metadata、中介語言指令與原生依賴清單。若留下的是原生執行檔（編譯後看不見原始碼的檔案），才需要 Ghidra 這類反編譯器；Ghidra 免費，真正花時間的是設定。

資安稽核。稽核人員要確認某支程式到底對外連去哪裡。這時看的是網路封包紀錄（HAR 檔）與執行檔字串，REA 會把請求、回應與外洩的資料對應到來源位置，並標明哪些是觀察、哪些只是推論。

三個場景怎麼對齊

REA 站在流程中間，不取代人。官方原則寫明查不到就標 unknown，不得把失敗聚合成通過。我們協助客戶盤點時一貫的建議是：先走 JavaScript、Electron 與 .NET 這條零成本路線，真的碰到原生執行檔再談付費工具。另外，REA 不是沙箱，會用你本人的權限真的去執行目標程式，稽核請在獨立機器上做。

從裝機到跑完第一次分析：Node 22 以上、CLI 與 MCP 兩種用法

想試 REA，唯一非裝不可的是 Node.js，版本要 22.19 以上或 24.11 以上，23 與 25 整條奇數版線不支援，prerelease 也一律擋下。Linux 基線是 Ubuntu 24.04 以上，台灣常見的 Ubuntu 22.04 不在清單；清單還包括 Fedora 41+、Nobara 44+、64 位元 Arch Linux、CachyOS 與 Omarchy，macOS 要 12 版以上。Windows 只支援接 Ghidra，官方標示為實驗性。

安裝腳本 install.sh 會先列變更計畫、要你核准才動手，也會備份舊設定，預設選項是 No。旗標另有：--dry-run 只印計畫不動手、--no-setup 只裝 CLI 跳過 agent 註冊、--no-prompt 全自動（CI 或容器用）、--verbose、--version 指定版本。官方明講安裝不會順手升級 Node.js、npm、Homebrew 或 Java，對把建置鏈鎖版本的團隊是好消息。

CLI 與 MCP 差在哪，什麼時候用哪一種

兩邊能做的事一樣，實務分法是單次查證走 CLI、要反覆來回就註冊 MCP。CLI 是終端機指令：rea doctor 做環境診斷、rea analyze 直接跑一次分析，另有 rea providers（列深度分析引擎）與 rea capabilities（回報目標可用狀態），兩者都支援 --json。入門最省事的路是 npx -y rea-agents@latest analyze-javascript-application，指向絕對路徑就能對 Electron 或 JavaScript 應用跑靜態分析，不必先設定原生引擎。MCP 是讓 AI agent 直接呼叫工具的通訊協定，裝好後在 Claude Code、Cursor 講一句話，agent 就自己動手。

目前支援 17 個 client ID，涵蓋 Claude Code、Claude Desktop、Codex、Cursor、Gemini CLI、Windsurf、Devin、OpenCode、Antigravity、GitHub Copilot CLI、Command Code、Qwen Code、VS Code、Grok Build、OMP、Pi 與 Hermes；Grok Bot 連接器形式不同，得從對話介面加入。6.4.0 版新增 Hermes 與 Qwen Code 註冊流程，並支援 Hermes 作用中設定檔，對已在用 coding agent 的團隊少一段手動設定。

最容易卡住的是收尾：證據檔太大餵不進 agent。官方 CLI 文件舉 Obsidian 為例，完整證據約 334 MB，投影成摘要檢視後只剩約 10 KB。做法是先存檔再投影，把 --json 輸出重導成檔案，再用 jq -c '{source:{kind:"inline"，evidence:.}，view:{kind:"summary"}}' 把證據包成摘要，接著用 rea inspect-analysis-view 讀取檢視檔。

能壓這麼小，是因為 REA 的證據模型把每個結論拆成四類：工具實際看到的「觀察」、從觀察算出來的「推導」、合理但未經證明的「推論」，以及明確標示沒查到的「未知」。摘要檢視只留結構，原始輸出留在本機。信心值與 provider 名稱都會記在證據裡，官方在 AGENTS.md 訂了一條原則：fail、unknown、unsupported、truncated、skipped 永遠不得聚合成 pass。

限制先講清楚：哪些期待一定會落空

REA 星數從 10 月 8 日 22:44 的 20,000 星，三天內衝到 10 月 11 日 12:25 的 76,785 星（GitHub 專案頁），單日新增 25,793 星，最猛約每 10 至 14 小時一萬星。熱度不等於成熟度，官方自己列的限制要先讀，用途比想像中窄。

官方文件裡白紙黑字的三件事

它不是沙箱，不防禦已在你帳號下執行的惡意程序；行為捕捉會用你的使用者權限真的把目標程式跑起來，最好在專用 VM 或獨立帳號執行；分析結果會進到 agent 的模型供應商，不是留在家裡。客戶交付、不便外流的程式，這三點要先跟內部講清楚。

平台限制別跳過：Windows 原生分析仍為實驗性、僅 Ghidra（P0，不建議當正式生產）；Node.js 23、25 不支援；macOS 缺 get-task-allow 權限時部分程序擷取會失敗。原生分析基線為 macOS 12+、Ubuntu 24.04+、Fedora 41+、Nobara 44+、64 位元 Arch Linux、CachyOS、Omarchy，台灣常見的 Ubuntu 22.04、CentOS 系不在清單內；Node.js 要 22.x（大於等於 22.19）、24.x（大於等於 24.11）或 26 以上。

社群用過之後的質疑

Hacker News 720 分、311 則留言，最常見的疑問是「這跟直接叫 Claude 裝 Ghidra 有什麼不同」。技術社群的批評集中在三點：能模仿外部行為，不等於能推出內部的快取策略、衝突解決與離線資料模型；反編譯衍生的程式碼缺「為什麼這樣設計」的脈絡，規模一大容易重寫；對已有逆向方法論的人，省下的是工具串接時間，不是能力躍升。另有團隊刻意不碰反編譯，避免爭議。

深度調查很吃 token，官方舉例：Obsidian 完整證據檔約 334 MB，投影成 summary view 後只剩約 10 KB，做法是先存檔再投影，用 jq 產生 summary view，再用 rea inspect-analysis-view 檢視；直接丟 334 MB 給模型成本會很可觀。

付費工具有隱藏門檻：Ghidra 免費，Hopper 個人授權 99 歐元、單機 129 歐元，Binary Ninja 個人版 199 美元、商業版 1,799 美元，IDA 專業版昂貴另有 Home 授權。setup 可代裝 Hopper（需使用者核准），Ghidra 與 IDA 自備；只做 JavaScript、Electron、.NET 三類不必付費工具，裝了 Node 就能跑。

供應鏈：npm 套件 rea-agents 僅 morluto 一人維護，6.4.0 版安裝檔 11 MB、1,161 個檔案，內含一個 Windows 原生 .node 二進位，無 postinstall 腳本（僅 prepare）。npm 上沒有惡意撞名套件，但 GitHub 已出現冒名 repo：rea-tools/rea、Kasyang233/rea、maclve/rea、LexDice/rea、ylwl1997/rea-run。官方聲明「沒有發行任何加密貨幣或代幣」，安裝認明 morluto/rea 與 npm 上的 rea-agents。

替代方案有限公司觀點：台灣團隊的採用順序

REA 是編排層，幫 AI agent 呼叫 Ghidra、JADX 等既有工具，每個結論標明是觀察、推導、推論還是未知。對台灣中小團隊，價值不在「終於能逆向」，而是盤點舊系統時終於有紀錄可查。

AGENTS.md 把證據模型寫得很硬：必須區分 observation、derivation、inference 與 unknown，且「fail、unknown、unsupported、truncated、skipped 永遠不得聚合成 pass」，工具回報失敗或沒查到，不能因為其他步驟順利就蓋上「通過」章。Evidence v2 把四類資訊分開存放，信心值與 provider 名稱一併記錄，可匯出、重新匯入、跨版本 diff。

我們建議的起手場景

• 自家產品新舊版本行為比對，升級前後哪個參數變了，錯了頂多重查一次。
• 沒有原始碼的舊系統介面盤點，先讓 REA 產出證據鏈，再派真人複核關鍵流程。
• JavaScript、Electron、.NET 這 3 類，裝好 Node.js 就能跑，零付費工具，最適合當練兵場。

先練 JavaScript 與 Electron，指令一行：npx -y rea-agents@latest analyze-javascript-application /absolute/path/to/app --json，產出的證據檔含模組、import、source map、路由、IPC 與原生外掛關係。檔案太大就投影：Obsidian 完整證據檔約 334 MB，summary view 後只剩約 10 KB，先存檔再用 jq 轉，agent 才吃得下。

客戶交付的付費軟體、以及拿它當資安稽核唯一依據，現階段都不建議。SECURITY.md 明寫「這不是沙箱」，執行時會用你的使用者權限真的去跑目標程式，結果也會進到模型供應商（來源：REA SECURITY.md，2026）。稽核結論該由真人簽。

成本：Ghidra 由 NSA 釋出、免費；Hopper 個人版 99 歐元、單機版 129 歐元一次買斷；Binary Ninja 個人版 199 美元、商業版 1,799 美元；IDA 專業版更貴，另有 Home 授權。只做 JavaScript、Electron、.NET 三類，工具成本是零；要走原生執行檔，至少得備 Ghidra 或評估 Hopper，setup 可代裝 Hopper 但只在使用者核准後動作，Ghidra 與 IDA 一律自備。6.4.0 版已把 Pi、Hermes、Qwen Code 納入 setup，Hermes 支援 active profile；支援的 coding agent 共 17 種，含 Claude Code、Codex、Cursor、GitHub Copilot CLI。

支援基線是 Ubuntu 24.04 以上，台灣常見的 22.04 或 CentOS 不在清單內，Windows 原生分析仍標示實驗性；近 30 天 npm 下載 39,702 次（來源：npm downloads API，2026-10-11）。Node.js 需 22.19 以上或 24.11 以上，23、25 版及所有 prerelease 都不支援；原生分析主機另含 macOS 12+、Fedora 41+、Nobara 44+、64 位元 Arch Linux、CachyOS、Omarchy，Windows 只支援 Ghidra、標記實驗性 P0。官方 install.sh 提供 --dry-run、--no-setup、--no-prompt、--verbose，setup 先顯示變更計畫、預設值為 No、會備份既有設定，也不會順手升級 Node.js、npm、Homebrew 或 Java。

落地順序：挑 1 個內部小題目、1 位願讀證據的工程師，跑一次 JavaScript 或 .NET 分析，確認證據鏈看得懂、接得進流程，再往要花錢的原生那條路走。社群一句值得畫紅線：行為不等於實作，REA 能模仿外部行為，卻推不出內部的快取策略、衝突解決或離線資料模型。供應鏈也要看：npm 套件名為 rea-agents，維護者目前僅 morluto 一人，已出現多個冒名 repo，官方聲明未發行任何加密貨幣或代幣。

成本試算：免費路線與付費路線，錢該花在哪一格

目標是 JavaScript、Electron 或 .NET 這三類，花費 0 元：REA 對這三類走純靜態分析，裝好 Node.js（22.19 以上或 24.11 以上）就能跑，不需要商業逆向工具。

免費範圍比想像寬。官方十五類目標中，JavaScript／Electron、.NET 組件、封裝與資源靠內建能力；Android APK 要完整 JDK 加無頭 JADX，0 元；離線 ELF 佈局與 Linux 當機紀錄要 Linux x64 加 pwntools，也是 0 元。只有已編譯成機器碼的原生執行檔才撞到收費牆。

REA 本身不收錢：MIT 授權開源專案，npm 套件 rea-agents，最新版 6.4.0，首發 2026 年 7 月、累積三十一個版本、近三十天下載 39,702 次。錢是付給反編譯引擎，REA 只把引擎包成 agent 能呼叫的形式。

四套引擎的價差怎麼看

• Ghidra：美國國安局釋出的開源專案，免費，功能完整但學習曲線偏硬。REA 不代裝。
• Hopper：macOS 生態主力，個人授權 99 歐元、單機 129 歐元，一次買斷。REA 可代裝，但先顯示變更計畫、經核准才動作。
• Binary Ninja：個人版 199 美元、商業版 1,799 美元（來源：官方定價頁，2026）。
• IDA：業界標準，專業版價格另計，通常要走公司採購。

關鍵不在數字大小，而在能不能報帳。Hopper 的 99 歐元個人刷卡可處理；Binary Ninja 個人版 199 美元居中；商業版 1,799 美元與 IDA 專業版幾乎一定走公司流程。三人以下小團隊，先買一套 Hopper 放 macOS 工作機，其餘用 Ghidra 補位，第一輪先用免費 Ghidra 驗證流程。

兩格常被看漏。原生分析主機要 macOS 12 以上或 Ubuntu 24.04 以上，Windows 只支援 Ghidra 且標為實驗性；還在跑 Ubuntu 22.04 或 CentOS 系就得先升級或另開一台。Node.js 限 22.19 以上或 24.11 以上，23、25 與所有 prerelease 不支援。裝機前先用內建診斷指令掃環境。

token 是另一筆帳：深度調查把大量反編譯結果餵進模型，很吃 token，費用可能比授權更難預測，先拿小題目量一次。

省 token 的做法是「先落地、再投影」。官方以 Obsidian 為例：完整證據檔約 334 MB，餵不進 agent；先輸出 JSON，再用 jq 投影成 summary view，掉到約 10 KB，骨架還在，細節按需再撈。

常見問題 FAQ

Q：這跟自己叫 AI 猜有什麼差別？
REA 不是反編譯器，是反編譯器的仲介層，把 Hopper、Ghidra、IDA、JADX 這些既有工具包成 CLI 加一個 MCP server，讓 AI coding agent 直接呼叫。差別在每個結論都會標明是觀察、推導、推論還是未知，還附上信心值。官方原則也寫得很白：fail、unknown、unsupported 永遠不得聚合成 pass，沒查到的就老實說沒查到，不會硬掰成通過。所以它交出來的是一條可查證的證據鏈，不是 AI 產出一段看起來很順的猜測。

Q：資料會不會跑出去？內部資安稽核能用嗎？
會出門一部分。官方 SECURITY.md 明講這不是沙箱，也不防禦已經在你帳號下執行的惡意程序；執行時捕捉會用你的使用者權限真的去跑目標程式，而且分析結果會進到 agent 的模型供應商，不是完全不出門。所以像內部資安稽核要看某支程式到底連去哪裡，這件事要先讓資訊部門知道，不能當成全程留在公司裡。另外深度調查很吃 token，成本要另外算。相對的，安裝流程會先顯示變更計畫、要求核准，預設值是 No，也會備份既有設定。

Q：那要花錢嗎？舊系統沒原始碼真的派得上用場？
看你要做哪一類。JavaScript、Electron、.NET 這三類完全不需要付費工具，裝好 Node 就能跑，舊系統介面重建、交接軟體補規格很適合從這裡入門。原生執行檔才要花錢：Ghidra 免費，Hopper 個人版 99 歐元買斷。環境要先確認，Node 要 22.19 或 24.11 以上，Ubuntu 要 24.04 以上，公司常見的 22.04 不在支援清單內。心態上也要有底：它給的是行為觀察，行為不等於實作，快取策略、離線資料模型這類推不出來，對已經有逆向方法論的人是省下工具串接時間，不是能力升級。

📩 有任何問題或需要協助，歡迎聯絡我們：[email protected]