AI 学会拆软件了，闭源软件靠「看不懂」守了二十年的墙，开始漏风了 - 欧洲轮盘布局

一个人，几乎复制了半个软件生态

软件行业的格局正在发生剧变。

起初，我看到一则消息：前苹果设计师 Robbie Tilton 因不满 Adobe 高昂的订阅费和庞大的安装包，利用 AI 开发了一款免费的 Photoshop 替代品 Compositor，其安装包仅 12MB。

这款软件包含了图层、蒙版、剪贴蒙版、调整图层等 Photoshop 老用户常用的功能，在 GitHub 上已获得超过 14000 颗星标。

Tilton 表示，合成所需的核心工具都已具备，没有任何冗余功能。我在自己的电脑上试用后，也感觉非常流畅。

不过，目前该软件仅支持 macOS 系统。

但无需遗憾，几乎在同一时间，另一个类似的 Photoshop 替代项目 PhotoCraft 也通过 Vibe Coding 方式诞生。开发者 Brandon Thomas 甚至试图复刻整个 Adobe 产品线：

• Photoshop → PhotoCraft
• Illustrator → VectorCraft
• Premiere Pro → FilmCraft
• After Effects → EffectCraft
• Lightroom → LightCraft
• InDesign → DesignCraft
• Acrobat → PrintCraft

这些软件无需订阅，支持 macOS、Windows 和 Linux。目前仍处于早期开发阶段，代码完全开源。

官方宣传的混合模式、滤镜、内容识别、污点修复等功能，尚无法在一夜之间全部实现。

但我认为，Adobe 的开发者们现在应该感到不安。

Adobe 目前尚未公开回应或提起诉讼，它仍在忙于自身的更新：将 Photoshop 和 Firefly 集成到 Google Gemini，为 Premiere 推出 Android 版本，并提供免费的 4K 导出功能。

这位“狠人”开发者并未停歇，他还在 GitHub 上一次性发布了微软 Office 三件套的纯 Rust 开源复刻版：WordCraft（对标 Word）、GridCraft（对标 Excel）和 DeckCraft（对标 PowerPoint）。

该开发者介绍，项目采用“净室重写”方法，即不查看原软件代码，仅根据功能从零开始编写，以此规避版权风险。 在编写代码时，他让 AI 担任结对编程的搭档（即两人共同编写，一人敲代码一人审查，这里的“另一人”由 AI 替代）。

这三个项目的当前进度如下：WordCraft 已能读写 .docx 文件，据开发者称，其与 Word 的功能对齐度约为 62%。GridCraft 支持了 93% 的常用工作表函数，日常制表所需的基本功能都已具备。DeckCraft 仍在向第一个 Alpha 版本（即内测版）推进，距离可用状态还差一步。

他后续还计划开发 CADCraft，对标 AutoCAD，并附带一套音频工具。

一个人，就仿佛一支军队！

游戏行业同样在行动。

AnyPS5 项目旨在让 PS5 游戏能在 Windows 或 Linux 系统上运行。这并非一个模拟器。

索尼正在赶来的路上！

这些事件汇聚在一起，指向同一个事实：闭源软件依靠“难以理解”所构建的护城河，已经出现了裂痕。

近期最热门的项目，专门用于拆解软件

最近，一个名为 REA 的项目在 GitHub 上异常火爆，目前仍位居 GitHub Trending 榜首。

10 月 10 日，@Trending GithubReponsitories 发文确认，该项目一天内获得了 25784 颗星标，累计星标数已超过六万。

它的核心功能是逆向分析各种软件。

一个软件在使用时，只能以机器可读的形式存在，其源代码的编写方式已不可见。逆向工程就是从成品倒推其编写过程，好比拿到一道菜，在没有菜谱的情况下，通过品尝和拆解来反推烹饪方法。

REA 的全称是 Reverse Engineer Anything，它将逆向分析工具与 Claude Code、Codex、Cursor 等 AI 编程智能体连接起来。

REA 本质上是一种 MCP 服务，而 MCP 可以理解为人工智能调用外部程序的通用接口，在对话过程中即可直接使用，就像给手机插入充电线一样简单。

安装过程非常简便，只需一条命令即可完成：npx rea-agents setup

可以拆解的部分远超预期！

首先是原生程序，例如微信、各类游戏。这类软件直接编译成机器码，只有机器能读懂。需要借助 Hopper、Ghidra、IDA 等反汇编工具，先将机器码翻译成汇编语言，再翻译成近似 C 语言的草稿，业内称为伪代码。

其次是 Electron 应用，比如 Notion。这类应用使用网页技术创建桌面程序，安装包内有一个 ASAR 文件，可以像压缩包一样直接解压。各个模块之间的通信方式也易于分析，无需其他工具辅助。

此外，.NET 程序、安卓 APK、固件、网站、抓包记录等均可分析。在 Linux 和 macOS 系统上，还能记录程序运行时的行为。

有博主实测，该项目支持 DeepSeek Harness，可以对安卓 APK 进行逆向分析！

过去阅读一个没有源码的程序，需要自己对着反汇编工具逐行解读、层层追踪调用，一个函数看一整天是常事。现在，可以让智能体先去追踪，人只需核对它提供的证据。

这对安全研究人员、老游戏复刻者和软件保存者来说，都变得轻松许多。

但有一件事无法外包：核对证据，并承担相应后果。

静态混淆，如同皇帝的新衣

过去，软件公司进行代码混淆、动态加密、反调试，其前提假设是：

别人看不懂、改不动、复制不起。

但现在面对 AI Agent，许多静态混淆就像皇帝的新衣。只要证据链能追溯下去，局部逻辑就能被还原。

Replit 创始人 Amjad Masad 最近发帖称，AI 逆向工程的进展惊人，用不了多久，所有软件实际上都会开源。

REA 的方法并非最新，它采用的是“无尘室”设计。

最典型的例子是 1984 年 Phoenix Technologies 公司试图模仿 IBM PC 的 BIOS（即计算机开机后首先执行的一小段底层代码）。直接照搬会侵权，因此该公司将员工分成两组进行开发。

第一组知晓 IBM 的代码，但只能描述“这个程序的功能是什么”，不能写出实现方式。

第二组从未见过 IBM 的代码，拿到一份功能说明书后便开始自行编写。

通过分成两组并保留证据，相当于为自己提供了一份证明：没有抄袭他人作品，而是独立创作。Phoenix 后来将这套 BIOS 授权给多家电脑公司，赚取了丰厚的利润。

不同之处在于，如今在“无尘室”中工作的人员变成了 Agent。

先泼点冷水，再看一个扎心的实验

先别急着认为软件行业要完蛋，有几件事需要说明。

在软件领域，有一种防止逆向工程的方法，就是给程序加上保护措施，专门防逆向，例如加壳、VMP 虚拟化、运行时密钥、动态调试对抗。可以理解为：把菜谱改写成暗号，一偷看还会自动换暗号。

REA 并未遇到类似手段，在其官方展示的小函数中，许多是 63 字节大小的小函数，并且是由项目方挑选的。如果用一个完整的商业软件来检测，会产生什么结果？目前无人能给出答案。

法国安全团队 Quarkslab 曾进行过一次测试，起因颇为有趣。

有客户对他们说：混淆技术已经过时，大模型辅助逆向工程可以轻松破解。Quarkslab 不服，决定亲自验证。（混淆就是故意把代码弄得一团糟，使人难以理解。）

2026 年初，他们花了数周时间，将 Claude Opus 5 放入沙箱，并向其提供几个经过层层加固的 AArch64 二进制文件，指令很简单：找出里面隐藏的字符串。

结果，没有一个样本被真正破解。

Agent 的问题与不认真学习的学生相似，那就是偷懒。它不去理解这些保护措施，而是寻找最容易的方式去做。

如果加固过多，它就会从静态分析转向动态测试来验证结果。然后便停滞不前，提交一份看似正确、但实际上是编造的报告。

Quarkslab 的判断是：混淆并未失效，仍在成倍地提高攻击者的成本。

不过，另一方也没闲着。今年 3 月有一篇论文名为 Pushan，在 1000 多个二进制文件上进行了测试，其中包含受 VMProtect 和 Themida 两款商业混淆器保护的文件，照样还原出了控制流图，并反编译成了 C 伪代码。它依靠的是符号仿真，没有使用大模型。

因此，防守与进攻之间仍存在差距，没有一方能立即击败另一方。

法律和护城河，各司其职

首先，从法律角度看，《计算机软件保护条例》中有两点需要记住：

第六条：保护不延伸到开发软件所用的思想、处理过程、操作方法和数学概念。

第十七条：为了学习、研究软件里的设计思想和原理，可以通过安装、显示、传输或存储软件的方式使用，无需经著作权人许可。

这两点并未直接解答“反编译可以走到什么地步”。但有一点很清楚：将还原结果用于复制牟利，或违反用户协议，将面临不同的风险。

看看微信、支付宝、抖音等国民级 APP，即使客户端被复刻，其壁垒依然存在，因为它们真正有价值的东西在服务端：风控模型、社交关系链、推荐算法、商户网络，以及牌照。

以微信为例，其壁垒之一是拥有十几亿用户。这条关系链根本不在客户端代码中，逆向工程无法获取。

再往后想一步：App 退居后台

当功能可以被拆解、复刻时，App 作为“功能容器”的价值就会下降。

继续推演，软件的下一形态，可能是 Agent 为你现场拼装、用完即弃的一次性定制产品，手机里连那个图标都无需保留。

假设有一天，你没有打开任何 App，只是简单地说了一句：“今天要办的事情有哪些？”然后让 Agent 查看你的日程表、电子邮件、群聊以及工单，并将它们汇总成一份清单交给你。你看完后，这张清单的界面就消失了。

听起来很有趣，但也会失去一样东西：每个人看到的画面都不一样。

同事之间再也无法说“把这个表发我”，因为根本不存在同一个“这个表”。

App 不会消失，它会退居后台，成为能力的供给者。

对中国产业而言，一次性功能的供给能力反而最具优势。小程序生态、模板化 SaaS、海量的开发产能，都体现在这条线上。代价是品牌的积累将变得更加困难。

当拆解成本趋近于零后，功能不再是壁垒，真正值钱的只剩下两样：一是积累的数据；二是跑得比别人快的那个版本号。