Reverse Engineer Anything: 3 cosas de tu app que no clona

Reverse Engineer Anything (REA) le da a tu agente de IA herramientas para ver una app por dentro, y circulan videos que prometen "clonar cualquier software". Pero hay tres cosas de tu app que no clona. Las comprobamos con su documentación, su demo más grande, una prueba independiente y la ley.

Qué es REA de verdad (y por qué no es una IA que copia apps)

REA no es un modelo ni una "IA que clona apps". Es un servidor MCP y una herramienta de línea de comandos, gratis y con licencia MIT, que le da a tu agente (Claude Code, Codex, Cursor y otros) herramientas para examinar el código que explica cómo funciona una aplicación, un juego o un sitio web. Para el análisis nativo se apoya en programas de ingeniería inversa que ya existían, como Hopper, IDA o Ghidra —este último, gratuito y creado por la NSA—. Lo que devuelve es pseudocódigo y ensamblador; con eso, tu agente escribe y prueba una implementación. El propio aviso legal de REA advierte que ese análisis puede estar incompleto o ser incorrecto. Y conectar la IA con estas herramientas no es nuevo: GhidraMCP e IDA Pro MCP ya lo hacían el año pasado. Lo que cambia es que REA baja el tiempo y la experiencia que antes hacían falta.

Su demo más grande: un juego de 1996, función por función

El caso estrella es DX-Ball, un juego de Windows de 1996 que están reconstruyendo desde su ejecutable, una función a la vez, en lenguaje C. Es meticuloso: una de las funciones reconstruidas reproduce exactamente los 63 bytes de la original y pasa 3.205 casos de prueba. Al 7 de octubre había 55 funciones reconstruidas; hoy, de 543 funciones candidatas, 457 tienen código y 350 son idénticas byte a byte, aunque todavía faltan las rutinas de dibujo y de ejecución. Impresionante, pero lento y sobre un objetivo pequeño.

Lo que no puede ver: el servidor y los datos

Aquí están las tres cosas que no clona. Primero, el servidor: REA inspecciona lo que se entrega al usuario, no el código que corre en los servidores del fabricante. Segundo, los datos: como resumió un usuario de Hacker News, es casi imposible clonar de forma útil un servicio cuyo valor está en los datos que sirve. Y tercero, en la práctica: en una prueba independiente sobre una app de Electron de código abierto —donde se podía comparar cada respuesta con el código real—, REA acertó los 30 de 30 lugares que se le pidieron, pero respondió 0 de 8 preguntas de comportamiento y no mostró los archivos con una configuración de seguridad sensible. La conclusión de esa prueba es elegante: REA no mintió, pero lo que no encuentra no prueba que no exista. La lección para cualquiera que entregue software: lo que va del lado del cliente hay que considerarlo público; las claves y los secretos, jamás ahí.

Los "clones" de Photoshop

Con REA de moda, proyectos como PhotoCraft se asociaron a la tendencia: una reimplementación "clean-room" de Photoshop hecha solo con especificaciones públicas y comportamiento observado, sin tocar código propietario (su equipo dice cuidarse incluso de no usar Ghidra). Su propia hoja de ruta es honesta: va en torno al 45 % de lo necesario para trabajo real y estima entre 2.300 y 4.100 horas de un agente para la paridad completa. Dicho de otro modo: REA no inventa una app, abarata recrear funciones, no apps enteras.

Qué dice la ley en Chile, la UE y EE. UU.

El marco legal es sorprendentemente parecido en los tres lugares. En Chile, la ingeniería inversa sobre una copia legal se permite solo para compatibilidad o investigación, no para crear un programa similar que infrinja. En la Unión Europea, las ideas no se protegen, pero lo obtenido no puede usarse para un programa sustancialmente similar. En Estados Unidos, el derecho de autor no protege ideas, procedimientos ni métodos de operación. Y la licencia de macOS, por ejemplo, prohíbe la ingeniería inversa salvo donde la ley lo permita. El propio aviso de REA lo deja claro: obtener algo parecido al código fuente no da derechos sobre el programa ni sus datos. Un cierre de seguridad: REA no es un entorno aislado (sandbox), así que abrir un binario no confiable lo analiza con los permisos de tu usuario.