REA 리뷰: 별 43만 개 MCP는 어떻게디컴파일러를 대신하고, 대신하지 못하는가

GitHub에서 별 43만 개를 가장 빨리 모은 MCP 프로젝트는 morluto/rea다. 2026년 4월 14일에 만들어진 저장소는 2026년 11월 5일 기준 별 432,900개, 포크 107,500개를 기록했고, 같은 날 MCP Trends 주간 집계에서는 7일 사이 33,525개를 더 받아 상승률 1위에 올랐다.

이 글은 설치 후기를 쓰기 전에, 이미 나와 있는 외부 실사용 기록 네 건과 코드 분석 기사 한 건을 모아 "43만 별이 무엇을 의미하는가"를 확인한 검증 글이다. 결론은 단순하다. REA는 디컴파일러를 대신하지 않는다. 디컴파일러를 에이전트에게규율 있게 시키는 앞단이다.

1. REA는 무엇인가

REA는 로컬 MCP 서버이자 CLI다. npx rea-agents setup을 실행하면 Claude Code, Codex, Cursor, Gemini CLI, Grok Build 같은 에이전트에 MCP 서버와 작업 지침을 등록하고, 기존 설정은 백업한다. 등록되는 도구 수는 139개다.

동작은 세 단계다. 에이전트가 질문하면 REA가 분석 도구를 호출하고, 결과와 함께 Evidence(무엇을 보았는지, 한계는 무엇인지, 아직 모르는 것이 무엇인지)를 돌려준다. 에이전트는 그 증거를 바탕으로추적하거나 설명하거나 구현한다. CLI rea 명령은 같은 워크플로를 쓴다.

핵심은 REA가 새 디컴파일러가 아니라는 점이다. 깊은 네이티브 분석은 Hopper, Ghidra, IDA, Kuna를 직접 제공해야 한다. setup은 Hopper를 승인하면 설치해주지만, Ghidra와 IDA는 기존 설치본을쓴다. 대신 JavaScript/Electron과 .NET 정적 분석은 추가 엔진 없이 워크플로를 돌린다.

필요한 환경은 Node.js 22.x(22.23.4 이상), 24.x(24.22.1 이상), 26.12.1 이상이다.

2. 숫자로 본 규모

별 수치는 집계처마다 조금 다르다. mcp.market은 같은 날 429,558개로 집계했다. 방향은 같다.

주목할 것은 다운로드다. rea-agents는 한 주에 30만 회가 넘게 내려받아졌고, mcp.market 기준 주간 다운로드는 52만 회다. 별이 아니라 실제 설치 수다.

3. 무엇을 분석할 수 있나

표의 특징은 타깃마다 전용 추출기를 뒀다는 점이다. 일반 디컴파일러 하나에 모든 것을 맡기지 않고, Go 바이너리에서 컴파일러 버전과 모듈을 뽑고, IL2CPP 메타데이터를 직접 해독하고, PE 인증서와 ELF 노트를 정적으로 읽는 식이다.

4. 설치와 사용

npx rea-agents setup
npx -y rea-agents@latest analyze-javascript-application /absolute/path/to/app --json
npm install --global rea-agents
rea update

setup은 변경 사항을 보여주고 승인을 받은 뒤 설정을 쓴다. 설치 후에는 에이전트를 재시작해야 한다. 에이전트에 질문하는 방식은 단순하다.

노트 앱에서 검색이 어떻게 작동하는지 이해하고, 증거를 보여줘.
내 프로젝트에 비슷한 기능을 만들어줘.

5. 외부 실사용 기록 네 건

5-1. YouTube 네트워크 관찰: 인벤토리는 정확, 심층 분석은 실패

josegarrido.dev의 테스트에서 REA는 28초 만에 요청 81개를 수집했고, DevTools로 직접 로그를 남긴 결과와 요청 경로·순서가 일치했다. analyze-web-bundle은 스크립트 50개, JavaScript 13.7MB를 집계했고, 핵심 파일 9.7MB와 플레이어 base.js 2.6MB는 curl로 받아 해시까지 같았다.

하지만 질문에 답하지 못했다. 기본 설정(스크립트당 30초)으로는 결정 로직이 담긴 두 파일에서 시간이 났다. 10분 제한과 6GB 메모리로 20분을 돌려도 같은 결과였다. observe-web-execution은 15초 동안 1,022개 함수의 실행을 기록했지만, 남은 것은 uHa, pz, Dz 같은 미니파이드 이름뿐이었다.

네트워크 인벤토리는 정확하고, 미니파이드 코드의 의미는 찾지 못한다.

5-2. FocuSee 기능 재구성: 8분 만에 동작하는 클론

genaiunplugged의 비교 테스트는 세 가지 버전을 만들었다. 원본 FocuSee는 25회 클릭에 25회 줌을 걸었지만 타이핑 중에는 노트 박스가 잘렸다. REA와 Ghidra를 쓴 클론은 2회 줌, 전체 화면 유지, 8분 작업, 테스트 7개 통과. 순수 Claude Code로 만든 클론은 5회 줌, 5분 46초, 테스트 0개였다.

차이는 REA가 왜 타이핑 줌이 어긋나는지 설명할 수 있었다는 점이다. Ghidra로 컴파일된 프로그램을 직접 읽었기 때문이다. 비용은 약 9분이었다.

5-3. 코드 분석: 디컴파일이 아니라 증거 서류철을 산다

ai.thesatyajit의 분석은 규모를 밝혔다. 패키지에 등록되는 도구 139개, 테스트를 뺀 TypeScript 약 167,000줄, 테스트 119,000줄, Hopper 안에서 도는 Python과 Ghidra 안에서 도는 Java 스크립트 3,321줄이다.

평가는 단호하다. 대부분의 도구가 결과와 함께 출처가 기록된 Evidence를 반환한다는 것. 이 매장에서 사는 것은 디컴파일이 아니라 서류철이다. 의사코드와 어셈블리를 함께, 호출자와 데이터 참조를 한 번에, 에이전트의 설명이 지나치게 확신에 차 있을 때 되물어볼 수 있는 Evidence id까지.

다만 Ghidra 브릿지가 Hopper 브릿지보다 완성도가 높다고 평가한다. 라이선스 측면에서도 Ghidra 쪽을 권한다.

5-4. 코드를 읽고 설치를 보류한 사례

SMF Clearinghouse는 2026년 10월 18일 저장소를 그대로 읽고 설치를 보류했다. 그 시점의 별은 317,541개, 포크 80,525개, 열린 이슈 668건, 열린 PR 556건이었다.

세 가지를 지적했다. 첫째, 래퍼다. 신뢰하지 못하는 바이너리를 열면 그 디컴파일러가 본인 권한으로 실행되는데, 샌드박스가 아니라 DISCLAIMER.md 하나로 관리한다. 둘째, "분석은 로컬에서 한다"는 문장이 불완전하다. 도구 결과는 에이전트가 받고, 모델 제공자의 데이터 정책이 그대로 적용된다. CLI 가이드의 Obsidian 예시는 Evidence 파일이 334MB였다.

셋째, 가져갈 가치가 있는 것은 도구가 아니라 습관이다. 판단에는 증거와 한계와 미해결을 붙인다. 디컴파일러는 결코 그렇게 하지 않았고, 그 위에 세운 에이전트도 마찬가지였다.

6. 한계와 위험

1. 디컴파일러는 없다. 깊은 네이티브 분석은 Hopper, Ghidra, IDA, Kuna 없이 불가능하다. REA는 상용 도구의 라이선스나 키를 제공하지 않으며, 크랙본과 키 공유를 명시적으로 금지한다.

2. 샌드박스가 없다. Ghidra, mitmproxy, pwndbg, adb를 본인 권한으로 구동한다. 읽기 전용 MCP보다 폭발력이 크고, 신뢰하지 못하는 바이너리를 여는 순간 파싱은 그 도구에 넘어간다.

3. 해석 품질은 모델 역량에 달렸다. REA는 사실을 모아올 뿐 결론을 내지 않는다. 어떤 도구를 고를지, 결과를 어디까지 믿을지는 에이전트의 몫이다. 미니파이드 코드에서 0이 나왔을 때 파일을 직접 여는 판단이 필요하다.

4. 빠른 속도가 부채가 된다. 열린 이슈 853건, 열린 PR 751건. README는 40만 별 축하 문구를 걸어 뒀고, 이슈와 PR은 그보다 빨리 쌓이고 있다. 문제가 생기면 "최신 버전으로 업데이트부터"가 공식 권고다.

5. 복제는 법률 문제다. DISCLAIMER.md는 불법·무단 접근, DRM이나 라이선스 우회, 보호된 코드와 에셋의 복제를 지원하지 않는다고 못박는다. "특징을 봤으니 닮은 버전을 만들어달라"는 지시는 그 문장과 정면으로 부딪힌다. 합법적 범위는 본인 소유이거나 분석 권한을 받은 소프트웨어로 한정된다.

7. 누구에게 필요한가

가치가 있는 조합은 분명하다. 허가받은 바이너리, 기존 디컴파일러, 그리고 증거를 남겨야 하는 작업. 이 셋이 겹치면 REA는 에이전트의 손을 139개 도구로 넓혀 준다.

JavaScript와 Electron 정적 분석은 엔진 없이 몇 초 만에 들어간다. 이 경로만 쓸 생각이라면 진입 비용이 거의 없다.

반면 "앱이 어떻게 하는지 설명만 들으면 된다"면 표준 브라우저 자동화로 답을 얻을 수 있는 경우가 많다. 거대한 도구열과 334MB짜리 Evidence를 감당할 이유가 없다.

가장 중요한 것은 순서다. 법률 문제가 도구 문제보다 먼저 온다. 43만 별은 그 질문을 대신해 주지 않는다.

참고한 글

• Memory MCP 직접 연동기: AI의 세션 기억상실에 로컬 지식 그래프를 붙였다
• AI에게 손과 발을 달아주다 — 시스템 제어 MCP 3대장