两天涨了七万八千星之后，聊聊「克隆软件」这件事的边界

先看两个时点的数字。10 月 10 日凌晨我拆过 REA 这个项目，当时它有 62,202 颗星。今天再看：140,193。两天涨了 7.8 万，翻了倍还多。

数字背后有一条清晰的时间线。10 月 10 日，YouTube 频道 Eric Tech 发了一期视频《How To Use REA To Clone Any Software In Minutes》，两天播放 13.1 万。同一个窗口里，项目的 npm 包发到了 6.4.0 版，GitHub 仓库挂上了 trendshift 徽章，Discord 社区开了 show and tell 频道。视频是导火索，仓库是火药，这条走红的因果链各环都对得上。

REA 到底是什么

先把项目本身说清楚。REA（Reverse Engineer Anything）不是逆向引擎——它自己不反编译任何东西。它是一套桥：把 Hopper、Ghidra、IDA 这些老牌逆向工具，把 JADX、pwntools、mitmproxy 这些安全工具，各自包上一层统一的接口，接到 Claude Code、Codex 这类编程 agent 的 MCP 端口上。agent 说「看看这个二进制里的这个函数」，桥去调真正的工具，把结果端回来。七座桥，覆盖原生二进制、安卓应用、运行时行为三大类。

它自己的 showcase 里最硬的一个例子：拿 90 年代的游戏 DX-Ball 做实验，恢复出的 3,205 个原始 x86 函数用例，复刻编译后与原版字节全同。不是「看起来像」，是逐字节一致。

项目作者 morluto 是个人开发者。今年 4 月建仓，7 月发 npm 第一版，三个月后跑到六万星，现在十四万。这套速度放在任何赛道都算异常。

视频里克隆了什么

Eric Tech 的演示选了个有意思的对象：Wispr Flow，一款语音听写应用。按住热键说话，松开变文字，顺带记笔记——很多人拿它当键盘替代品。

克隆版在视频里跑起来了三件事：全局热键、笔记记录、本地转录。前两件平平无奇，第三件值得停下来看。

因为 Wispr Flow 官方从来不宣称本地转录。翻它的官网 FAQ，隐私问题下的回答是「我们绝不卖你的数据」，然后是一排认证：SOC 2 Type II、ISO 27001、HIPAA 合规。这些认证全是云端处理语境的产物——数据出你的设备，进它的服务器，靠合规体系兜底。克隆版反着来：转录模型直接跑在本机，语音数据根本不出门。

这个细节把「克隆」的真实边界画得很清楚。能克隆的是产品形态：热键的交互、笔记的结构、界面的布局——这些是看得见摸得着的部分。克隆不来的是两样东西：Wispr Flow 云端的转录模型管线（那是用海量真实听写数据喂出来的），以及那三个认证（那是花钱花时间买来的合规审查）。克隆版换上本地小模型，隐私卖点反而更响，但转写准确率大概率糙一截——官方那个模型是几百万用户的语音调出来的，本地的 whisper 类模型不是。

所以准确的说法不是「克隆了 Wispr Flow」，是「克隆了 Wispr Flow 的交互形态，换了引擎，顺带换了个官方没做的隐私卖点」。

二进制那部分怎么配合

视频里还讲了配合 Hopper 做二进制分析的路数。REA 的规则是：静态 JavaScript 应用（Electron 那类）不需要任何逆向引擎，纯读；原生二进制（C/C++ 编译产物、游戏、系统工具）需要你自带 Hopper、Ghidra 或 IDA 之一，安装时也可以选择让 setup 经你批准后代装 Hopper。README 首图就是 REA 的分析桥跑在 Hopper 界面里的样子。这一层设计是诚实的：它清楚自己是大门不是锤子，真要砸开二进制，锤子得自己带。

「代码不再是护城河」这句口号，值得拆开看

视频的核心观点是：代码不再是护城河，品牌和用户才是。这话不是新论调——开源软件鼎盛的年代就有人讲过「商品化的互补品」理论。但那时候克隆一个应用还得雇人读几个月代码，现在是一个 agent 加一晚上。口号从理论变成了按键操作，分量不一样了。

品牌为什么挡得住？因为品牌本质上是预验证的缓存。用户买软件前不会去逆向检查它有没有后门、内存泄漏、隐私漏洞——那笔检查没人付得起。品牌的意义是把别人做过的检查打包成一张收据：这么多人用过、这么多媒体评过、SOC 2 审过，你可以直接信。克隆版能复制功能，复制不来这张收据。讽刺的是，Wispr Flow 那三个认证就是官方主动花钱买的「收据」——护城河的工费，明码标价。

用户为什么挡得住？因为用户即数据。Wispr Flow 的转录模型靠每天几百万次真实听写打磨：人们怎么说话、哪里停顿、专业名词怎么拼，这些数据只长在真实产品里。克隆版功能列表再齐，拿不到这条数据流，模型差距只会越拉越大。

把三层摆在一起看，边界很工整：能被一夜拿走的是代码，能被慢慢积累的是数据和信任。REA 把第一层的门槛踩到了地上，等于替所有软件公司做了一次压力测试——测试结果是，第一层果然挡不住任何东西，但也仅此而已。

npm 上 6.4.0 是昨天发的，仓库今天还在被 star 刷屏。这个数字最后停在多少，大概取决于下一期视频。