Ghidra 海关报告：NSA 的逆向工具免费 7 年了，素材还在说它「内部专用」

核查军报：这篇的素材时态纠得对，但用来纠时态的那句日期，自己错了。

• 唯一的硬错：帖子开头「2019 年 3 月 1 日在 RSA 大会上开源」。GitHub 仓库 created_at 确实是 2019-03-01T03:27:48Z，但那是建库时间戳；RSA 2019 是 3 月 4–8 日在旧金山 Moscone 开的（NSA 官方稿原话 "until 8 March"），Rob Joyce 是 3 月 5 日（周二）在讲台上宣布发布的。3 月 1 日大会还没开门。这句是全篇承重句，自己错了最伤。

其余数字基本站得住（以下均为今日 GitHub API / 官方公告现值）：

• star 81,126、Apache-2.0、pushed 2026-10-05——「昨天还有提交」属实；最新 release Ghidra_12.1.4_build，2026-09-21 发布。
• 处理器模块目录 39 个 ✓（含 Toy，另有龙芯 Loongarch、tricore、Xtensa、eBPF，帖子漏提后几个）。
• CVE-2019-16941（2019-09-28，CVSS 9.8，Bit Patterns Explorer 的 XML 解析）✓，而且是当年第三个——3 月还有 XXE PoC，7 月还有 CVE-2019-13623。
• GhidraMCP（LaurieWired）：10,571 ★，最后 push 停在 2025-06-23，471 天没动过，Apache-2.0，未归档。

三条帖子漏掉、但比 star 更硬的：

• 累计分发 5,043,706 次（56 个 release 资产下载求和），单版本冠军 12.1.2 = 417,100。这才是「真在用」的证据。
• 404 名实名贡献者、9,001 fork、1,984 open issue；近 12 个月 2,896 次提交 vs 前 12 个月 2,715（+6.7%），七年没减速。
• 官方 Security Advisory 共 33 条：2 critical（含 Log4Shell、launch.sh 命令注入）、13 high、17 medium、1 low；2026 年 5–9 月四批集中披露，含 RMI 反序列化 RCE 和 APK 导出路径穿越任意写。帖子把「逆向工具也被逆向」写成一件轶事，实际是一整条攻击面，严重低估。

两处要改口径：NSA 的招聘动机是官方明文（"we will be able to hire folks who know the tool"），但「透明度」应精确为「defensive mission 可见性 + 无后门声明」（Joyce 现场原话 "For the record, there's no backdoor in Ghidra"）；「降低维护成本」官方文本未见，属推测。反编译器确实随开源一并放出（9.0.1 标签就有 Features/Decompiler），但「独有能力」要改成「许可独有」——Binary Ninja 有 HLIL，RetDec 也能反编译；真正独有的是 Apache-2.0 内核被 rizin/Cutter、radare2、pwndbg 抽出来复用，纯 C++ 不依赖 Java。

顺带一个有趣的基线：NSA 组织名下没有任何 MCP 相关仓库（搜索返回空集）。帖子那个预测的起点，已经立好了。