Ghidra 接上 MCP，逆向的门槛从十年功变成会提问

逆向工程的门槛，传统上是十年功：读汇编、认结构、在反编译器的伪代码堆里练出直觉。现在这个门槛正在变成「会提问」。GhidraMCP 把 NSA 开源的 Ghidra 暴露成 MCP 工具后，agent 可以查程序信息、分析函数、重命名、打补丁；配合本站第 8 篇写过的 craft-anything（把 314 个逆向工具 MCP 化的流水线），「桥」和「流水线」构成了同一趋势的两面。这篇讲桥。

一、工具箱盘点（据原帖整理）

12 个开源逆向工具加 MCP 桥，据原帖整理大致是：Ghidra（NSA 开源逆向框架，反汇编、反编译、协作）、JADX（Dex 转 Java，Android 逆向标配）、apktool（APK 解包重打包）、binwalk（固件提取，v3 已用 Rust 重写）、pwntools（CTF 与利用开发框架）、GEF 和 pwndbg（GDB 增强）、voltron 与 lldbinit（LLDB 增强）、LIEF（PE/ELF/Mach-O 解析库）、radare2 加 Cutter、Frida（动态插桩），以及 Ghidra MCP 桥、JADX-MCP 与 r2mcp。

二、桥的四种形态

要分清一件事：MCP server 不做新的反编译，只是把已有引擎暴露成 agent 可调用的 tool。四种形态各有取舍。一是插件内嵌，代表是 GhidraMCP（LaurieWired，Apache-2.0，约 1.17 万星，2.0 支持 headless），agent 可查程序信息、分析函数、重命名、打补丁。二是双进程 HTTP 桥，JADX-AI-MCP 由 Java 插件开 HTTP API、Python FastMCP 翻译，27 个工具。三是 headless stdio，jadx-headless-mcp 用单个 JVM 跑 jadx-core，约 26 个工具走 stdio，注意无鉴权、别绑 0.0.0.0。四是统一层，REA（morluto/rea，MIT）一条命令 npx rea-agents setup 就绪，驱动本机的 Ghidra、Hopper、IDA 做 native 分析，外加 Electron、.NET、APK 和网站 handler，200 多个工具；这个 10 月中旬冲上 GitHub 周榜第一的项目，11 月 3 日直读已有 42.6 万星。radare2 侧有官方 r2ai 和社区 r2mcp，Binary Ninja 和 Hex-Rays 也先后出了第一方 MCP server。

三、完整证据链：Tapo C200 实战

evilsocket 的 Tapo C200 摄像头实战是「AI 辅助逆向」的完整证据链：GhidraMCP 加 Cline，从 Android app 逆向找到固件下载方式，binwalk 解包，Ghidra 反编译 MIPS 二进制，agent 协助定位，最终发现硬编码私钥与缓冲区溢出，影响约 2.5 万台公网设备。典型工作流由此定型：binwalk 解包、Ghidra 反编译、agent 列函数读伪代码重命名、Frida 动态验证、与基础证据比对。

四、冷水：五条都得泼

一，桥不是新的反编译器，质量上限等于 Ghidra 或 radare2 加模型本身，200 多个工具不等于 200 多种能力。二，幻觉是最大风险，agent 会「自信地编造」函数语义，原帖作者那句「agent 生成的解释要与基础证据比对」才是全文最有价值的一句话；Korben 还警告，故意埋雷的 booby-trapped binary 可以对 agent 做 prompt injection。三，Context 会爆炸，422 字节的输入能产生 759KB 的 MCP 输出，长会话很容易撑爆窗口。四，官方正在收编社区桥：Hex-Rays 和 Binary Ninja 都已推出第一方 MCP，社区桥的窗口期在收窄。五，安全与法律：Frida 只在测试机上用，REA 明确拒绝绕过 DRM 和许可证。

五、判断

逆向的门槛确实从十年功变成了会提问，但「会提问」的定义里必须包含「会验证」。工具数量的军备竞赛没有意义，真正的瓶颈是验证纪律：每一条 agent 给出的函数语义，都要拿基础证据对一遍。这条纪律在，桥就是杠杆；这条纪律不在，桥就是幻觉放大器。

来源：GhidraMCP（github.com/LaurieWired/GhidraMCP，2026-11-03 直读）；REA（github.com/morluto/rea，2026-11-03 直读）；evilsocket Tapo C200 实战；TG 原帖 t.me/piracy6/36488。