REA 후기들은 실제로 무엇을 시험했나: 실행, 데모, 뉴스, 의견을 나눠 읽기

REA(morluto/rea)가 크게 주목받은 뒤 몇 주 사이에 직접 써 본 후기, 유튜브 데모, 뉴스 기사, 긴 토론 스레드가 쏟아졌습니다. 그런데 이 글들의 무게는 서로 다릅니다. 이 글은 질문 하나만 다룹니다. 이 중 어떤 글이 REA를 실제로 실행했고, 무엇을 대상으로 했으며, 그 결과로 무엇을 말할 수 있나?

REA가 무엇인지부터 알고 싶다면 개요 글을 먼저 읽어 주세요. 이 글은 이어지는 네 편 중 첫 번째입니다.

확인 날짜는 2026년 10월 14일입니다. 아래 자료는 모두 이날 원문을 열어 읽었습니다. 이 시리즈를 위해 Motitory가 REA를 실행해 보지는 않았고, 여기 나오는 수치 중 우리가 직접 잰 것은 없습니다. 우리가 내린 해석에는 해석이라고 표시했습니다.

자료는 여섯 종류로 나뉩니다

이런 도구에 관한 글을 읽을 때 쓸모 있는 질문은 “긍정적인가, 부정적인가”가 아니라 “누가 무엇을 실행했고, 내가 확인할 수 있나”입니다. 이 글에서는 자료를 다음처럼 나눴습니다.

공식 문서. 커밋 29d3dcb에 고정한 REA 저장소와 문서, 그리고 6.4.0 릴리스입니다. 프로젝트가 무엇을 의도하고 어떤 한계를 밝히는지는 알려 주지만, 여러분의 대상에서 얼마나 잘 되는지는 알려 주지 않습니다.
프로젝트가 보고한 사례. README와 공식 사이트의 쇼케이스입니다. 프로젝트 스스로의 보고이지 독립 벤치마크가 아닙니다.
독립 실행. 프로젝트 바깥의 누군가가 REA를 실행하고, 버전과 환경을 밝히고, 확인할 수 있을 만큼 출력을 남긴 경우입니다.
작성자가 주장하는 데모. 결과를 보여 주지만 원본 출력, 고정된 버전, 다시 해 볼 방법이 없는 영상이나 글입니다.
뉴스와 의견. 문서를 요약하거나 REA의 의미를 논하는 글입니다.
익명 토론. 포럼 댓글입니다. 반론을 찾는 데는 쓸모 있지만 근거로 쓰지는 않습니다.

읽어 볼 만한 외부 자료는 여덟 개였습니다. Medium 글과 그것을 HackerNoon에 다시 실은 글은 하나로 셌고, 원문을 열지 못한 자료는 쓰지 않았습니다.

여덟 자료 한눈에 보기

자료	날짜	종류	무엇을 실행했나	뒷받침할 수 있는 것
Ishank Choudhary, HackerNoon	10월 14일	독립 실행	실제 Electron 앱과 작은 자작 픽스처에 REA 6.4.0	큰 JavaScript 대상 하나에서의 커버리지와 출력 크기
Curtis Pyke, Kingy AI	10월 8일, 이후 갱신	독립 실행	공식 Notes 픽스처에 REA 6.0.0	작고 읽을 수 있는 대상에서의 완전한 추적
02ui, 유튜브	10월 12일	작성자 주장 데모	작성자에 따르면 Apple 암호 앱의 생성 규칙	실마리일 뿐
SI NEWS, 유튜브	10월 13일	작성자 주장 데모	작성자에 따르면 Windows에서 Bitburner 3.0.1	실마리, 그리고 쓸모 있는 실패 보고
Guru Baran, Cyber Security News	10월 10일	뉴스	실행 없음, 문서 요약	공정한 2차 요약
Abid Ali Awan, KDnuggets	10월 12일	의견	실행 없음	‘AI 복제’ 흐름에 대한 관점
Jose Antonio Lanz, Decrypt	10월 13일	의견·서사	실행 없음	화제가 된 서사, REA 근거는 아님
Hacker News 스레드	10월 12일	익명 토론	REA 재현을 올린 사람 없음	반론

두 유튜브 영상은 전체 자막을 검토하지 않고 공식 페이지의 설명과 메타데이터를 읽었습니다. 그래서 설명에 적힌 내용만 옮깁니다.

두 독립 실행은 함께 읽어야 합니다

두 실행은 정반대 끝에 있어서 나란히 놓고 볼 때 가장 쓸모가 있습니다.

작은 대상을 끝까지 추적한 경우. Pyke는 macOS 26.3(arm64), Node 24.16에서 REA를 6.0.0으로 고정하고, 소스가 1.6KB 정도인 공식 Notes Electron 픽스처를 분석했습니다. 글에 따르면 REA는 ‘내보내기’ 동작이 렌더러에서 preload 브리지와 IPC를 거쳐 메인 프로세스의 CSV 포매터에 이르는 경로를 되찾았고, 따로 다시 구현한 포매터는 미리 정한 14개 사례에서 바이트 단위로 일치했습니다. 작성자는 ZIP, 해시, 잠금 파일, 원본 Evidence를 보관했다고 밝힙니다. 성공만큼 중요한 세부도 두 가지 있습니다. 그 작은 픽스처에서 나온 출력이 약 907KB였고, 초점을 맞춘 추적에서는 모르는 것이 0개였지만 프로젝트 전체 그래프에는 여전히 44개가 남았습니다.

실제 앱을 일부만 덮은 경우. Choudhary는 Debian 13(8 vCPU)에서 REA 6.4.0으로 실제 Electron 데스크톱 앱의 100MB짜리 ASAR와 직접 만든 다섯 파일짜리 픽스처를 분석했습니다. 459개 파일(JavaScript 421개), 약 310만 개 AST 노드를 52초쯤에 처리했고, 창·브리지·IPC 개수는 단순한 grep 결과와 일치했습니다. 하지만 작성자는 REA가 preload 경로 두 개를 놓쳤고, 자원 한도 때문에 365개 파일의 관계를 결과에서 뺐으며, 간접적으로 이뤄지는 발신자 검증을 잡지 못했다고 보고합니다. 도구 표면도 컸습니다. tools/list 응답이 약 1.95MB였고 간결 모드도 9%쯤 작을 뿐이었으며, 요약 텍스트는 약 672KB였습니다. 토큰 수는 작성자의 대략적인 추정이지 실제로 청구된 값이 아닙니다.

둘 다 시험하지 않은 것도 그만큼 중요합니다. 긴 조사에서 에이전트가 내리는 판단, 네이티브 코드, 웹 페이지, APK, 펌웨어, Ghidra·Hopper·IDA, 그리고 앱을 ’복제’하는 것과 비슷한 어떤 일도 시험하지 않았습니다. 두 실행 모두 JavaScript였습니다. Pyke의 대상은 작성자가 소스로 읽을 수 있는 것이었으니, 불투명하거나 독점적인 소프트웨어에 대한 근거도, 클린룸 작업의 근거도 아닙니다.

우리의 해석(Motitory 분석)은 이렇습니다. 작고 읽기 쉬운 픽스처에서의 성공과 큰 실제 앱에서의 부분 커버리지는 동시에 참이고, 한쪽을 인용한다면 다른 쪽도 함께 인용해야 합니다. 또 정확도만이 병목은 아닙니다. 출력의 크기, 도구 스키마를 모델 컨텍스트에 넣는 비용, 버전 고정, 사람이 결과를 검토하는 데 드는 시간이 모두 이 도구가 쓸 만한지를 정합니다.

두 데모는 결과가 아니라 실마리입니다

Apple 암호 생성 규칙. 02ui 영상의 설명에는 REA로 Apple 암호 앱이 강력한 암호를 만드는 방식을 조사해 규칙 17개를 얻었고, 새로 만든 암호 100개가 모두 그 규칙을 통과했으며, 약 40분과 약 10달러의 API 비용이 들었다고 적혀 있습니다. REA 버전, 원본 Evidence, 다시 해 볼 저장소는 없습니다. 더 근본적인 문제는 시험 방식입니다. 같은 조사에서 뽑은 규칙을 암호가 통과했다는 것은 규칙이 자기들끼리 맞는다는 뜻이지, Apple의 생성기와 같다는 뜻이 아닙니다. 그걸 보이려면 Apple이 공개한 규칙이나 실패할 수도 있는 시험처럼 조사와 독립된 기준이 필요합니다.

Bitburner. SI NEWS 영상은 Windows에서 REA CLI로 Bitburner 3.0.1을 분석해 ns.exploit() 함수를 찾았다고 설명합니다. Bitburner는 오픈 소스여서 그 함수는 공개된 소스에 있고, 게임 자체가 플레이어가 이런 것을 찾아내도록 설계되어 있습니다. 작업 흐름을 보여 주기는 하지만 닫힌 소프트웨어를 분석한 것은 아닙니다. 가장 쓸모 있는 부분은 실패 보고입니다. 사용한 무료 모델이 후속 도구 호출에 엉뚱한 인자를 거듭 넘겨서, 작성자가 CLI로 돌아가야 했다고 합니다. 도구 호출의 신뢰성 자체가 하나의 비용이라는 HackerNoon 쪽 관찰과도 맞습니다.

뉴스와 의견이 더해 주는 것

Cyber Security News는 공식 문서를 무난하게 요약합니다. 프로젝트가 보고한 시연은 그렇다고 표시하고, 문서의 경고 두 가지를 옮깁니다. 로컬 분석이라도 도구 결과가 모델 제공자에게 가므로 데이터가 컴퓨터 밖으로 나가지 않는다는 뜻은 아니라는 점, 그리고 런타임 기능에는 부작용이 있을 수 있다는 점입니다.
KDnuggets는 REA를 ArtCraft와 함께 ‘AI 소프트웨어 복제’ 흐름 속에 놓습니다. ArtCraft는 다른 프로젝트이고 REA의 사례가 아니며, 그 비교에 나오는 범위와 완성도 수치는 개발자들의 자체 평가입니다.
Decrypt는 REA를 GTA, Fable, 모드, ArtCraft 이야기와 엮습니다. 기사 스스로 그중 여러 이야기가 다른 도구를 썼거나 REA와 무관하다고 인정합니다. REA에 관한 근거는 하나도 없고, 가장 많이 인용된 문장들은 우리가 옮기지 않을 주장입니다.
Hacker News에서는 REA를 재현해 올린 사람이 없었습니다. 다만 스레드에서 가장 설득력 있는 반론은 의견으로서 기억해 둘 만합니다. 클라이언트를 분석할 수 있다는 것과 거기서 찾은 것을 쓸 수 있다는 것은 다르다는 지적입니다. 클라이언트에는 서버의 데이터, 계정, 서비스 운영, 네트워크 효과, 상표, 에셋이 들어 있지 않습니다.

화제가 된 사례가 REA의 근거가 아닌 경우가 많은 이유

눈에 띄는 이야기 대부분은 아래 점검 중 하나에서 걸립니다. 공유하기 전에 한 번 훑어보기 좋은 목록입니다.

REA를 쓰긴 했나? 화제가 된 이야기 중 여럿은 다른 도구를 썼습니다.
어떤 버전을 어떤 시스템에서? REA는 빠르게 바뀌고, npm 릴리스와 main 브랜치는 같은 것이 아닙니다(자세한 내용은 2편).
이미 공개된 결과였나? 오픈 소스 게임에서 함수를 찾은 것은 공개된 소스에서 찾은 것입니다.
확인할 수 있는 원본 출력이 있나? 영상 속 요약은 Evidence가 아닙니다.
검증이 독립적이었나? 같은 조사가 만든 시험을 통과했다고 원본과 같다는 것이 증명되지는 않습니다.
권리를 갖추었나? 남의 제품으로 한 데모는 그 분석이 허락받은 것이었는지 보여 주지 않습니다. REA의 MIT 라이선스는 REA 자신의 코드에 관한 것이고, 분석 대상이나 외부 도구에 대한 권리는 주지 않습니다(고지 문서). 직접 소유했거나 명시적으로 허락받은 소프트웨어만 분석하세요. 이 글은 법률 조언이 아닙니다.

소스처럼 보이는 출력도 마찬가지입니다. 원본처럼 읽히는 코드, 일부 사례에서의 바이트 단위 일치, 규칙 검사 통과는 다시 구현한 코드가 실행했을 때 똑같이 동작한다는 증명이 아니고, 그 결과물이 누구 것인지에 대해서는 아무것도 말해 주지 않습니다.

정리

독립 실행 두 편은 작은 기반입니다. 둘 다 JavaScript와 Electron, 곧 REA가 별도 provider 없이 기본으로 다루는 경로였습니다. 우리가 찾은 범위에서 나머지 대상은 공개적으로 시험된 적이 없습니다.
프로젝트 자신의 쇼케이스는 출발점이지 벤치마크가 아닙니다.
새 후기가 나오면, 의미를 판단하기 전에 위의 여섯 종류로 먼저 분류해 보세요.

2편에서는 남들이 시험한 것에서 문서가 말하는 가능·조건부·미지원의 경계로 넘어갑니다.

참고 자료

커밋 29d3dcb에 고정한 REA: README, 책임 있는 사용 고지, 설치: 릴리스와 main
릴리스: rea-agents-6.4.0
외부 자료: 위 표의 링크
이 블로그의 개요 글: REA(Reverse Engineer Anything) 정리

링크와 내용은 2026년 10월 14일에 확인했습니다.