AI 에이전트로 앱·게임·도구를 역공학하는 GitHub REA 툴킷 10선과 Claude 연동 팁

X(구 트위터)의 기술 크리에이터 하나코(@hanakoxbt)가 폐쇄형 상용 소프트웨어, 모바일 애플리케이션, 게임 클라이언트의 내부 동작 원리를 Claude 등 최신 AI 코딩 에이전트로 분석할 수 있도록 돕는 10가지 GitHub 오픈소스 역공학(Reverse Engineering) 툴킷과 에이전트 연동 팁을 공개했습니다.

이미지 출처: Hanako (@hanakoxbt) / X

기존의 역공학은 Ghidra 같은 복잡한 전문 도구를 수작업으로 다루며 함수 호출 규약과 오프셋을 일일이 추적해야 하는 진입장벽이 있었습니다. 그러나 Model Context Protocol(MCP)과 에이전트 인터페이스의 보급으로, 에이전트에게 디스어셈블러와 디컴파일러 권한을 직접 부여해 실제 바이너리 주소를 근거로 아키텍처를 해부하는 작업 흐름이 가능해지고 있습니다.

핵심 오픈소스 역공학 툴킷 10선

원문에서 추천된 10개 핵심 리포지토리는 바이너리 디스어셈블, 패키징 언팩, .NET 디컴파일, 네트워크 트래픽 인터셉트, 런타임 동적 후킹 등 역공학의 전 과정을 계층별로 다룹니다.

01. REA (morluto/rea) · 별 130K

• 역할: 바이너리, Electron, .NET, Android, 웹사이트 전반의 역공학을 지원하는 올인원 MCP(Model Context Protocol) 서버입니다.
• 핵심 특징: 에이전트에게 단일 MCP 인터페이스를 제공하여 다양한 형식의 파일과 앱에 대한 리버스 엔지니어링 질의를 수행합니다.
• 저장소: morluto/rea

02. Ghidra (NationalSecurityAgency/ghidra) · 별 84K

• 역할: 미국 국가안보국(NSA)의 무료 디컴파일러이자 소프트웨어 역공학 프레임워크입니다.
• 핵심 특징: 대부분의 AI 역공학 에이전트 환경에서 핵심 백엔드 디컴파일러 엔진으로 활용됩니다.
• 저장소: NationalSecurityAgency/ghidra

03. ImHex (WerWolv/ImHex) · 별 55K

• 역할: 파일 검사를 위한 16진수(Hex) 에디터입니다.
• 핵심 특징: 에이전트가 파일 검사를 수행할 수 있는 전용 MCP 서버를 제공합니다.
• 저장소: WerWolv/ImHex

04. mitmproxy (mitmproxy/mitmproxy) · 별 45K

• 역할: 네트워크 트래픽을 가로채고 배후의 숨겨진 API를 매핑하는 인터셉트 도구입니다.
• 핵심 특징: 앱의 네트워크 트래픽을 가로채 숨겨진 API 엔드포인트를 파악할 때 사용됩니다.
• 저장소: mitmproxy/mitmproxy

05. ILSpy (icsharpcode/ILSpy) · 별 27K

• 역할: .NET 바이너리를 읽기 쉬운 C# 코드로 디컴파일하는 오픈소스 도구입니다.
• 핵심 특징: 컴파일된 .NET 어셈블리를 C# 소스 코드로 복원해 에이전트에 코드 분석 맥락을 제공합니다.
• 저장소: icsharpcode/ILSpy

06. Frida (frida/frida) · 별 22K

• 역할: 데스크톱과 모바일 환경을 지원하는 런타임 동적 후킹 툴킷입니다.
• 핵심 특징: 실행 중인 애플리케이션의 런타임 동작을 후킹할 수 있으며 CLI를 통한 스크립트 제어가 가능합니다.
• 저장소: frida/frida

07. GhidraMCP (mcp-community/GhidraMCP) · 별 11K

• 역할: Ghidra 디컴파일러와 AI 에이전트를 연결하는 전용 MCP 브릿지입니다.
• 핵심 특징: 헤드리스(Headless) CLI 모드와 GUI 모드를 모두 지원하여 에이전트 연동 유연성을 제공합니다.
• 저장소: mcp-community/GhidraMCP

08. Android RE Skill · 별 8K

• 역할: Android 패키지(APK)를 디컴파일된 코드 및 API 엔드포인트 목록으로 변환하는 에이전트 스킬입니다.
• 핵심 특징: APK 파일로부터 디컴파일 코드 복원과 통신 엔드포인트 추출 과정을 에이전트가 수행하도록 돕습니다.

09. Universal Modder · 별 7K

• 역할: PC 게임 모딩(Modding)을 지원하는 AI 에이전트 스킬 모음입니다.
• 핵심 특징: PC 게임을 분석하고 모드를 제작할 수 있도록 에이전트에 특화된 스킬을 제공합니다.

10. Cpp2IL · 별 3K

• 역할: Unity C++(IL2CPP) 코드를 ILSpy에서 분석할 수 있는 .NET 형태로 되돌리는 도구입니다.
• 핵심 특징: 현재 개발 브랜치에서 대규모 리팩토링이 진행 중인 개발 중(WIP) 프로젝트입니다.

---

Claude 연동 프롬프트와 주소 기반 검증 원칙

원작자 하나코는 위의 도구 목록을 복사하여 Claude(특히 Claude Opus 5.5 등)에 프롬프트로 주입함으로써, 에이전트에게 리버스 엔지니어링 분석 권한을 부여하는 방식을 제안했습니다.

• 바이너리 수준 직접 분석: 에이전트에 단순 소스 추론이 아닌 실제 디스어셈블러와 디컴파일러(REA 및 MCP 브릿지)를 연결함으로써, 폐쇄형 바이너리 파일과 번들을 기계어 수준까지 직접 읽고 분석하도록 유도합니다.
• 주소 기반 증거 강제 (Address-Grounded Assertions): 에이전트가 내리는 모든 코드 동작 설명은 단순한 추측이 아니라, 실제 바이너리 주소(Address)를 근거로 제시되어야 합니다.
• 단계별 워크플로우 연계: 원작자는 REA를 활용한 8단계 상세 역공학 절차를 원문 스레드 링크를 통해 공유하며, 체계적인 도구 연결을 강조했습니다.

---

실전 적용 시 보안 격리와 현장 엔지니어 주의점

공개 직후 커뮤니티에서는 이 같은 AI 역공학 도구 조합에 대한 높은 관심과 함께, 실무 도입 시 반드시 준수해야 할 안전 수칙이 함께 공유되었습니다.

• 격리된 샌드박스 실행 필수: 중국 현지 AI 도구 실전자(@ChrisLee207)는 REA나 GhidraMCP 같은 도구의 권한이 반명의 역공학 엔지니어에 맞먹는 수준이므로, 반드시 격리된 샌드박스 환경에만 설치해야 한다고 지적했습니다.
• MCP 엔드포인트 기본 읽기 전용(Read-only): MCP 엔드포인트는 기본적으로 읽기 전용으로 제한하고, 디스크 쓰기나 프로세스 후킹 작업은 반드시 인간의 명시적 확인을 거치도록 설정해야 합니다.
• 스킬 허용 목록(Allowlist) 사전 검증: 리포지토리의 별점(Star)이 아무리 높더라도, 사전에 동일한 허용 목록(Allowlist)을 통과하지 않은 스킬은 기본 프로덕션 에이전트에 투입해서는 안 됩니다.
• 도구 완성도 한계 인지: Unity IL2CPP 역공학 도구인 Cpp2IL의 경우, 최신 개발 브랜치에서 전면 재작업이 진행 중이라 일부 출력 포맷과 레이어가 완성되지 않았습니다. 현장 분석가(@Rennix7t)는 AI 에이전트를 연결한다고 해서 도구 자체에 빠져 있는 기능이 저절로 채워지는 것은 아니라고 당부했습니다.
• 초심자를 위한 입문 조합: 커뮤니티 이용자 @ItsWonda_는 복잡한 바이너리 분석 전 단계에서 mitmproxy(네트워크 트래픽 캡처)와 Frida(런타임 후킹) 두 도구의 조합만으로도 초심자가 필요한 분석의 대부분을 다룰 수 있다고 언급했습니다.

---

원문 출처

• Hanako (@hanakoxbt) X 게시글: https://x.com/hanakoxbt/status/2110849274774970486