REA: Was KI-Reverse-Engineering in Ihren Anwendungen findet

Reverse Engineering war bisher Arbeit für Spezialisten: Disassembler bedienen, Pseudocode lesen, Hypothesen prüfen, oft über Tage. Das Open-Source-Projekt REA (Reverse Engineer Anything) übergibt diese Arbeit an KI-Agenten und wurde im Oktober 2026 zu einem der am schnellsten wachsenden Repositories auf GitHub. Was in einer ausgelieferten App, einem Desktop-Client oder einer Firmware steckt, war nie geheim, nur teuer zu lesen. Diese Hürde sinkt jetzt.

Was ist REA?

REA (Reverse Engineer Anything) ist ein quelloffener MCP-Server, über den KI-Coding-Agenten wie Claude Code, Codex, Cursor oder Gemini CLI Software ohne Zugriff auf den Quellcode analysieren. Das Model Context Protocol (MCP) ist die Schnittstelle, über die ein Agent externe Werkzeuge aufruft. REA steuert darüber etablierte Werkzeuge wie Ghidra oder IDA und eigene Parser; laut Projektdokumentation deckt es native Binärdateien, JavaScript- und Electron-Apps, .NET-Assemblies, Android-Apps, Firmware-Images, Websites und Netzwerkmitschnitte ab. Der Agent entscheidet, was er untersucht, REA führt aus und liefert die Belege zurück.

Das Projekt steht unter MIT-Lizenz und wird als npm-Paket rea-agents verteilt. Laut dem Tracking-Dienst OSSInsight, zitiert von Startup Fortune, stieg die Zahl der GitHub-Sterne zwischen dem 6. und 14. Oktober 2026 von unter 10.000 auf rund 234.000. Die Nutzungsrichtlinie nennt Sicherheitsforschung, Malware-Analyse und Interoperabilität als Zweck und schließt unautorisierten Zugriff ausdrücklich aus. Das Werkzeug selbst ist frei verfügbar, für Verteidiger wie für Angreifer.

Was Angreifer aus Ihren Anwendungen lesen

Reverse Engineering legt offen, was ein Hersteller im ausgelieferten Code für verborgen hält. Für Electron- und JavaScript-Apps listet REA Module, Routen und Source Maps, für Android-Apps Manifest und dekompilierte Methoden, für Websites und Netzwerkmitschnitte die übertragenen Daten.

Am folgenreichsten sind eingebettete Geheimnisse. Symantec fand 2022 in 1.859 Android- und iOS-Apps fest eingebaute AWS-Zugangsdaten; mehr als drei Viertel dieser Apps enthielten gültige Token für private Cloud-Dienste. Oft stammten sie aus gemeinsam genutzten Bibliotheken und SDKs, nicht aus dem eigenen Code der Hersteller. Eine Studie vom Juni 2026 fand in 282 von 444 untersuchten iOS-Apps ausnutzbare Zugangsdaten zu KI-Diensten im Netzwerkverkehr; drei Monate nach der Meldung waren 72 % davon weiterhin angreifbar.

Vier weitere Funde werden mit KI-Unterstützung ohne Spezialwissen erreichbar:

• Versteckte Schnittstellen und Hosts: Jeder API-Endpunkt, den eine App aufruft, ist öffentlich, ob dokumentiert oder nicht. Code verweist oft auch auf Test-, Staging- oder Admin-Systeme und vergrößert so die externe Angriffsfläche um Systeme, die nie für die Öffentlichkeit gedacht waren.
• Sicherheitslogik im Client: Rollenprüfungen, Feature-Flags und Eingabeprüfungen, die nur in der App laufen, lassen sich lesen und umgehen. Der Angreifer spricht direkt mit dem Backend.
• Veraltete Komponenten: Binärdateien verraten eingebettete Bibliotheken samt Version; REA liest etwa die Modulversionen aus Go-Programmen aus. Der Abgleich mit bekannten CVEs ist danach Routine.
• Geistiges Eigentum: REA wirbt selbst damit, eine Funktion aus einer fremden App untersuchen und für das eigene Projekt nachbauen zu lassen. Was als Vorsprung im Code steckt, ist damit schneller kopiert.

Auch Software, die Sie nur betreiben, wird lesbar

Dieselbe Analyse trifft die Produkte, die Sie einkaufen und am Perimeter betreiben. Wer eine geschlossene Lücke ausnutzen will, muss verstehen, was das Update verändert hat, und diese Analyse ist Reverse Engineering. Mandiant maß für 2023 im Schnitt nur fünf Tage zwischen Offenlegung einer Schwachstelle und erster beobachteter Ausnutzung (bereinigt um Ausreißer; 2018/19: 63 Tage). Jedes Werkzeug, das die Analyse verbilligt, drückt dieses Fenster weiter, ähnlich wie es KI-gestützte Schwachstellensuche auf der Seite der Zero Days tut.

Besonders exponiert sind VPN-Gateways, Firewalls und IoT-Geräte. Sie laufen mit geschlossener Firmware, und REA zerlegt Firmware-Images und native Binärdateien. Ein fest eingebautes Passwort oder eine veraltete Komponente in der Firmware betrifft jedes Gerät dieser Serie, das aus dem Internet erreichbar ist.

Die Projektdokumentation weist selbst darauf hin, dass Dekompilierung und KI-gestützte Analyse unvollständig oder falsch sein können. Für Angreifer ist das ein geringer Preis: Ihnen genügt ein Treffer.

Was hilft – und wo blacklens.io ansetzt

Fünf Maßnahmen wirken unabhängig von jedem Produkt:

• Keine Geheimnisse im Client: Schlüssel gehören auf den Server. Wo die App Zugriff braucht, kurzlebige Token mit minimalen Rechten; Schlüssel, die je ausgeliefert wurden, rotieren.
• Dem Client nichts glauben: Autorisierung und Validierung laufen immer serverseitig.
• Schnittstellen inventarisieren: Jeder Endpunkt, den eine App aufruft, gilt als öffentlich. Debug- und Staging-Systeme sind aus dem Internet nicht erreichbar.
• Abhängigkeiten kennen: eine Stückliste (SBOM) aller ausgelieferten Bibliotheken einschließlich der SDKs von Drittanbietern, mit zügigen Updates.
• Exponierte Systeme schneller patchen: Das Fenster zwischen Update und Exploit schrumpft.

Verschleierung des Codes erhöht den Aufwand, ersetzt aber keine dieser Maßnahmen.

blacklens.io zeigt, welche Funde einer solchen Analyse von außen tatsächlich angreifbar sind. Attack Surface Management erkennt kontinuierlich Domains, Subdomains, IP-Adressen, Dienste und Web-Anwendungen, die aus dem Internet erreichbar sind. Ein Staging-Host, auf den Ihr App-Code verweist, erscheint dort als Asset, sobald er unter Ihren Domains erreichbar ist, und nicht erst, wenn ihn ein Angreifer findet. Das Frühwarnsystem im Threat Center gleicht neue CVEs in Echtzeit mit den per Fingerprinting erkannten Technologien und Versionen ab und prüft Treffer per Verifikationsscan, wo eine Prüfvorlage existiert. Mit Penetration Testing as a Service prüfen OSCP-zertifizierte Pentester Ihre Web-Anwendungen, APIs und Infrastruktur; die Findings erscheinen als verifiziert in derselben Plattform, Retests sind im Preis der Pentest-Lizenz enthalten.

Reverse Engineering wird zur Standardfähigkeit. Planen Sie so, als sei Ihre Software lesbar, denn für deutlich mehr Menschen ist sie es jetzt.