Reverse Engineer Anything : donner des yeux à votre agent (REA, MCP)

Un binaire de 14 Ko, sans code source, sans symboles, sans documentation. Que peut-on encore en comprendre — et surtout, comment le prouver ? Dans cette session, on regarde REA, un serveur MCP open source (MIT) qui donne à un agent la capacité de lire un binaire, une app Electron, un APK, un firmware ou un modèle. Pas de la magie : une chaîne d'outils, des preuves, et des limites assumées. Au programme : • Ce qu'est REA, et ce qu'il n'est pas • Démo « la boîte noire » : reconstruire l'algorithme d'un exécutable strippé, puis le vérifier sur 500 cas que l'agent n'a pas écrits — 9,4 % pour une reconstruction naïve, 100 % pour la reconstruction vérifiée • Étude de cas Cozmo : ce qu'un APK orphelin révèle quand l'application a disparu du Play Store • Le cadre légal, la surface d'attaque et les cas où l'outil échoue • Ce que ça change concrètement : legacy, sécurité, produit, pédagogie CHAPITRES 0:00 — Pourquoi 200 + 10 % donne 220 ? 2:40 — Qu'est-ce que REA ? Un serveur MCP, pas une baguette magique 5:50 — Comment ça marche : de la question à la preuve 11:10 — Ce que REA sait ouvrir : huit familles de cibles 13:25 — Démo 1 : lire un binaire strippé (la calculatrice) 17:05 — Claude et REA : /mcp, le prompt, les preuves 23:15 — Démo 2 : la boîte noire, reconstruire un algorithme 27:30 — Le terminal : trois entrées, aucune formule 34:40 — Le test qui échoue : 9,4 % (47 cas sur 500) 37:20 — La reconstruction guidée par les preuves 43:40 — Vérification : 100 % sur 500 cas, puis holdout 51:30 — Démo 3 : Cozmo, l'anatomie d'un robot orphelin 58:00 — Ce que l'APK révèle : WebView, Blockly, CosmoEngine 1:04:10 — La cause racine du bug, trouvée dans les logs 1:09:15 — Reconnaissance faciale : où sont les visages ? 1:18:15 — Bonus : Dino Runner, décompiler un jeu web 1:29:15 — Questions : clés API, binaires piégés 1:31:10 — Le cadre légal : ce qui est autorisé et ce qui ne l'est pas 1:34:20 — Où REA échoue : les limites assumées 1:36:05 — Installation et carte de route 1:39:00 — Conclusion : le jugement devient la compétence rare 1:41:10 — Échanges et clôture RESSOURCES • Présentation (PDF) : https://cdn.jsdelivr.net/gh/royam0820... • REA — le projet : https://github.com/morluto/rea • Awesome-REA — 3 309 entrées, cas publics et rejouables : https://github.com/reacher-z/Awesome-REA • Site officiel : https://rea.tools (https://rea.tools/) • Kit de démo et notebooks : https://github.com/royam0820/Jev-Meetup Kit de démo : https://github.com/royam0820/REA-Meetup À RETENIR La valeur d'un agent ne se mesure pas à son assurance, mais à son taux de réussite sur des cas qu'il n'a pas écrits. CADRE Reverse engineering sur votre propre logiciel, ou à des fins d'interopérabilité : oui. Contournement de DRM, ou analyse du logiciel d'un tiers sans mandat écrit : non. Session pédagogique, pas un avis juridique. #ReverseEngineering #AI #MCP #Cybersécurité #AgentIA