インストール
npx rea-agents setup誰に向いているか
REA は、agent の中でリバースエンジニアリングを行いたい人に向いています。アプリの挙動を解明したい人や、ネイティブバイナリ、JavaScript や Electron アプリ、.NET アセンブリ、Web サイトを検査したい開発者・メンテナーです。Electron デスクトップアプリや .NET サービスを保守していて、サードパーティの依存や過去バージョンの実際の挙動を把握したい人にも合います。REA はこれらの検査ツールをあなたの agent に接続し、同じツール群はターミナルからも直接使え、分析はローカルで完結します。判断基準はシンプルです。答えるべき問いが「このプログラムやファイルは実際に何をしているのか」で、その答えがバイナリやバンドル成果物、実行時の挙動の中にあるなら、インストールして試す価値があります。向いていないケースは次のとおりです。対象があなたが検査する権限のあるファイルやアプリではない場合。環境が要求された Node.js バージョンをインストールできない場合。ローカルファイルに触れない純粋なオンラインスキャンサービスを求めている場合です。
3 分で最初の試行を完了
推奨されるメインパスは 1 つだけです。公式の setup コマンドで REA の MCP サーバーを登録し、対応する手順をインストールしてから、agent を再起動します。
npx rea-agents setup
前提条件：ローカルに Node.js 22.x（22.19 以上）、24.x（24.11 以上）または 26+ と、npm がインストール済みであること。ターミナルで上のコマンドを実行すると、MCP サーバーが登録され、対応する使い方の説明がインストールされます。接続がうまくいかない場合は、まず Node.js のバージョンが上記要件を満たすかを確認してください。
再起動後、低リスクな呼び出しを 1 回行って接続を確認します。ローカルの JavaScript ファイルの静的検査を agent に依頼してください。アクションの前に性質を説明しておきます。公式には、静的な JavaScript と .NET の検査は提供されたファイルを読むだけでアプリを実行しないと明記されており、このステップで対象プログラムが起動されることはありません。観察できる成功のサインは、setup コマンドが完了し、再起動後の agent がそのファイルの検査結果を返すことで、これは REA のツールが agent で使える状態になったことを意味します。公式は各ツールの具体的な名前とパラメータを列挙しておらず、実際に使えるツールは agent 再起動後に登録された一覧が基準になります。agent に呼び出させるほかに、同じツール群をターミナルから直接使うこともでき、これは公式が説明する二次的な使い方です。
ユースケース
ケース 1：プログラムを実行せずに JavaScript ファイルを把握する。シナリオ：バンドル済みまたは難読化された JS ファイルを入手し、実行するかどうか決める前に何をしているのか知りたい。方法：ファイルパスを agent に渡し、REA の静的 JavaScript 検査で分析させます。期待できる結果：agent はファイルを読んで分析の結論を返し、このコードは一切実行されません。.NET アセンブリも同様で、静的検査はファイルを読むだけです。静的な結論と実行時の観察は、互いに裏付け合うこともできます。
ケース 2：対象の実行時の挙動をキャプチャする。シナリオ：静的分析では問題が見えず、プログラムが実際にどう動くかを観察する必要がある。実行前に副作用を必ず確認します。公式には、runtime capture はあなたのユーザー権限で選択した対象を実行または操作し、その効果は各 runtime guide がそれぞれ説明すると明記されています。対象と影響を確認してから、agent にキャプチャを実行させてください。対象が実際のユーザーデータや本番環境に関わる場合は、隔離したコピーで手順を検証してからにしてください。期待できる結果：agent は対象の実行時挙動の情報を返します。具体的に何が変更されるかは、対応する runtime guide の説明が基準です。
利用の境界線
読み書きの性質を区別します。静的な JavaScript と .NET の検査はファイルを読むだけでアプリを実行しません。runtime capture は実際の作用を持つ操作で、あなたのユーザー権限で対象を実行または操作します。公式は統一された取り消し手順を説明しておらず、どのステップも取り消せると想定しないでください。
分析位置について、公式は REA が対象をローカルで分析すると説明しています。これは分析がどこで行われるかを述べたものにとどまり、セキュリティ上の結論ではなく、本ガイドもデータの流れやプライバシーの境界について独自の判断を行いません。分析成果物のローカルでの保存場所と削除方法は公式ページに説明がなく、未確認事項です。
公式ページに明記されておらず、手を動かす前に自分で確認すべき情報：各検査ツールの具体的な名前とパラメータ、対応する OS と agent クライアントの範囲、アカウントの認証情報が必要かどうか、各 runtime guide の具体的な項目。バージョン要件はプロジェクトの進展とともに変わる可能性があり、setup を実行する前の基準は公式ページの現在の説明です。