REA: ingeniería inversa del comportamiento de apps y binarios nativos con agentes

A quién va dirigido

REA va dirigido a quien necesite ingeniería inversa dentro de su agente: desarrolladores y mantenedores que quieran entender el comportamiento de una aplicación o inspeccionar binarios nativos, apps de JavaScript y Electron, ensamblados .NET y sitios web; también encaja con quienes mantienen apps de escritorio Electron o servicios .NET y quieren ver qué hace realmente una dependencia de terceros o una versión antigua. Conecta estas herramientas de inspección a tu agente, esas mismas herramientas también se usan directamente en la terminal, y el análisis se realiza en local. El criterio es sencillo: si la pregunta que debes responder es «¿qué hace realmente este programa o archivo?» y la respuesta se esconde en los binarios, los artefactos empaquetados o el comportamiento en ejecución, merece la pena instalarlo. No encaja cuando: el objetivo no es un archivo o aplicación que tengas autorización para inspeccionar; tu entorno no puede instalar la versión de Node.js exigida; o buscas un servicio de análisis puramente en línea que nunca toque archivos locales.

Primer intento en 3 minutos

Solo hay un camino principal recomendado: usar el comando setup oficial para registrar el servidor MCP de REA e instalar las instrucciones correspondientes, y luego reiniciar el agente.

npx rea-agents setup

Requisitos previos: tener instalados en local Node.js 22.x (22.19 o superior), 24.x (24.11 o superior) o 26+, además de npm. Ejecuta el comando anterior en una terminal; registra el servidor MCP e instala las instrucciones de uso correspondientes. Si la conexión no funciona, comprueba primero que tu versión de Node.js cumple los requisitos anteriores.

Tras reiniciar, haz una llamada de bajo riesgo para confirmar la conexión: pide al agente que inspeccione estáticamente un archivo JavaScript local. Antes de la acción, deja clara su naturaleza: la documentación oficial indica que la inspección estática de JavaScript y .NET solo lee los archivos que proporcionas y no ejecuta la aplicación, así que este paso no arranca el programa objetivo. Señales observables de éxito: el comando setup termina y el agente reiniciado puede devolver el resultado de la inspección del archivo, lo que significa que las herramientas de REA ya están disponibles en el agente. La documentación oficial no enumera los nombres ni parámetros concretos de cada herramienta; lo que cuenta son las herramientas que el agente registre tras reiniciar. Además de invocarlas mediante el agente, puedes usar las mismas herramientas directamente en la terminal, que es el uso secundario descrito por la documentación oficial.

Casos de uso

Caso 1: entender un archivo JavaScript sin ejecutarlo. Escenario: recibes un archivo JS empaquetado u ofuscado y quieres saber qué hace antes de decidir si ejecutarlo. Método: pasa la ruta del archivo al agente y deja que lo analice con la inspección estática de JavaScript de REA. Resultado esperado: el agente lee el archivo y aporta conclusiones sin ejecutar jamás ese código; lo mismo aplica a los ensamblados .NET, cuya inspección estática tampoco hace más que leer archivos; las conclusiones estáticas y las observaciones en ejecución pueden además corroborarse mutuamente.

Caso 2: capturar el comportamiento en tiempo de ejecución de un objetivo. Escenario: el análisis estático no muestra nada y necesitas observar cómo se ejecuta realmente el programa. Antes de actuar debes confirmar los efectos secundarios: la documentación oficial indica que la captura en tiempo de ejecución ejecuta el objetivo seleccionado o interactúa con él usando tus permisos de usuario, y que cada guía runtime describe sus propios efectos; tras confirmar el objetivo y su impacto, pide al agente que ejecute la captura. Si el objetivo implica datos reales de usuarios o un entorno de producción, valida antes los pasos sobre una copia aislada. Resultado esperado: el agente devuelve información sobre el comportamiento en ejecución del objetivo; qué se modifica exactamente lo determina la guía runtime correspondiente.

Límites de uso

Distingue lectura de escritura: la inspección estática de JavaScript y .NET solo lee archivos y no ejecuta ninguna aplicación; la captura en tiempo de ejecución es una operación con efectos reales que ejecuta el objetivo o interactúa con él con tus permisos de usuario. No hay documentación oficial de una vía unificada para deshacer: no des por hecho que ningún paso sea reversible.

Sobre el lugar del análisis, la documentación oficial indica que REA analiza los objetivos en local; esto solo describe dónde ocurre el análisis y no constituye una conclusión de seguridad, y esta guía tampoco emite un juicio independiente sobre los flujos de datos ni los límites de privacidad. Dónde se guardan en local los artefactos de análisis y cómo limpiarlos no se explica en la página oficial: queda sin confirmar.

Información que la página oficial no detalla y que debes confirmar antes de actuar: nombres y parámetros exactos de cada herramienta de inspección, sistemas operativos y clientes agente compatibles, si se necesitan credenciales de cuenta y el contenido concreto de cada guía runtime. Los requisitos de versión pueden cambiar con la evolución del proyecto; antes de ejecutar setup, rige lo que diga en ese momento la página oficial.