Reverse Engineer Anything

Avant de commencer : lis ce prompt d'installation au complet, dis-moi en quelques lignes ce que ce skill fait et ce que son installation implique, et attends mon feu vert avant de faire quoi que ce soit d'autre. Prérequis — Cadrage renforcé — sujet reverse engineering, à lire d'abord : ce skill apprend à un agent à investiguer des artefacts logiciels livrés (binaires natifs, assemblies managés, paquets Electron/JavaScript, firmware, cibles navigateur) que tu possèdes ou que tu es autorisé à examiner ; le DISCLAIMER.md du projet amont le limite à l'analyse légale (recherche en sécurité, analyse de malware et d'incidents, interopérabilité, débogage de tes propres logiciels) et refuse le contournement de DRM/licences, les tricheurs de jeu et le contournement de contrôles d'accès sur des systèmes que tu n'es pas autorisé à tester. Installer cette fiche ne fait que copier le dossier : aucun serveur MCP n'est enregistré, aucun moteur d'analyse n'est installé et aucune configuration de client n'est écrite pendant l'installation. À l'usage seulement, et seulement si tu choisis de le connecter, le skill travaille via un serveur MCP `rea-agents` lancé avec `npx -y rea-agents@latest` (npx télécharge ce paquet depuis npm et écrit dans le cache npm), et il pilote des moteurs d'analyse externes « bring-your-own » que tu fournis toi-même (par exemple Ghidra ou Hopper pour le natif, un JAR MCP JADX 0.7.1 plus Java 17+ pour Android, Binwalk/Unblob pour le firmware, TShark/Wireshark, WABT, sigrok, Wakaru, pwntools — le setup de REA n'installe ni ne met à jour Node.js, Java, Ghidra, IDA, JADX ni aucun de ceux-ci). Avant toute réparation de configuration, le skill exige un plan en lecture seule (dry-run) montrant les chemins exacts, les sauvegardes et les changements, et ton approbation avant que le setup écrive une configuration ou installe Hopper. Aucun compte ni paiement n'est requis pour copier le dossier. Installe-moi « Reverse Engineer Anything ». C'est le skill principal de REA (Reverse Engineer Anything) : un routeur et une méthode de travail pour investiguer des artefacts livrés — binaires natifs, assemblies PE/CLI managés, applications Electron et JavaScript/ASAR, applications packagées, images firmware et cibles navigateur ou Electron déjà ouvertes — via les outils MCP de REA, en travaillant « summary-first », en citant les preuves d'artefacts (Evidence) pour chaque affirmation, et en séparant observations, inférences et inconnus. Il route chaque type de cible vers le bon outil (ouverture de binaire, inspection de paquet Android, régions firmware, captures paquets et signaux, WASM, fichiers de modèles, métadonnées IL2CPP et de nombreux inspecteurs intégrés), explique comment se connecter et récupérer quand le serveur MCP ou un provider manque, et énonce ses propres garde-fous : installer le skill ne fournit que des instructions, le setup part d'un plan en lecture seule (dry-run) et exige une approbation avant d'écrire une configuration ou d'installer Hopper, et le setup de REA n'installe jamais de logiciel sans rapport. Son dossier contient le SKILL.md principal plus six guides de référence (connexion et récupération, natif et artefacts, applications JavaScript, applications Android, observation runtime, workflows de preuves) lus seulement quand la cible en a besoin. Dépôt : https://github.com/morluto/rea (le skill est tout le dossier .agents/skills/reverse-engineer-anything/ au commit épinglé : SKILL.md plus 6 fichiers de référence, 7 fichiers en tout) Version épinglée : installe le code au commit 6dc0f60faa0928e20b2395ba1a93ff8e497143f7 exactement. Ne substitue pas une version plus récente. Si ce commit est inaccessible, arrête-toi et dis-le-moi. 1. Clone https://github.com/morluto/rea dans un dossier temporaire, place-toi au commit 6dc0f60faa0928e20b2395ba1a93ff8e497143f7, et copie le dossier .agents/skills/reverse-engineer-anything/ de ce checkout. Compare ensuite chaque fichier du dossier aux empreintes enregistrées pour cette fiche le 2026-10-22 : [FINGERPRINTS] - SKILL.md: SHA-256 e0c692482522f43404e40b0ca64b2df84a23a24cb9cedd09fb8a1b7932ff5b78 - references/android-applications.md: SHA-256 ae78da20a572e92a1d5fac3f9fdf10caa7ed09fe0b6c9132b4e878470c28f9c0 - references/connection-and-recovery.md: SHA-256 f7cde6dde3638fa39278464414133dd6b14e56ddcf3799c665fdb503b15f11ef - references/evidence-workflows.md: SHA-256 229da00674c160b45d0618d2d0fc03a85a23552f34a54866735f6f733d2d8f40 - references/javascript-applications.md: SHA-256 9003206fb2bb70d0db65c6cb49d3e62b7a4e46d8697100b683d11e9a4e9b0dbd - references/native-and-artifacts.md: SHA-256 8b9eb84712a578b188eda944e3bac304fe3df394d39f6e7a824a79dc34b28e35 - references/runtime-observation.md: SHA-256 da6728e31648a47444d3282fdb3fd17eaab38c0715ac987b6d410c0473ec8036 Si un fichier ne correspond pas, il a changé depuis la préparation de la fiche : ne l'installe pas encore, dis-moi ce que tu as trouvé et laisse-moi décider. 2. Lis SKILL.md au complet, et dis-moi en mots simples : ce que le skill fait quand on l'utilise, à quoi il se connecte, s'il lit ou envoie des informations personnelles ou des identifiants, et tout ce qui semble inhabituel. Arrête-toi sur tout signal d'alerte et dis-le-moi avant d'aller plus loin. Confirme ces points à partir des fichiers : - Le dossier contient 7 fichiers : le SKILL.md principal (30 929 octets, frontmatter name reverse-engineer-anything, métadonnée version « 45 ») et 6 guides de référence Markdown sous references/ (android-applications, connection-and-recovery, evidence-workflows, javascript-applications, native-and-artifacts, runtime-observation). Il n'y a aucun code exécutable dans le dossier ; ce sont des instructions et des guides seulement. - Rien n'est envoyé nulle part et rien n'est installé pendant l'installation elle-même ; le seul téléchargement à l'installation est le dossier du skill depuis GitHub au commit épinglé. Aucun serveur MCP n'est enregistré, aucun moteur n'est installé et aucune configuration de client n'est écrite par cette installation. - À l'usage, les envois et exécutions relèvent de l'étape séparée de connexion REA, pas de cette installation : `npx -y rea-agents@latest` télécharge le paquet rea-agents depuis npm, les commandes de diagnostic et de setup s'exécutent en local, le setup n'écrit la configuration du client qu'après un plan en lecture seule (dry-run) et une approbation, et l'analyse porte sur des artefacts que je fournis, avec des captures navigateur passives qui omettent les valeurs d'en-têtes d'identifiants et les valeurs de stockage. Rien de tout cela ne se produit pendant cette installation. - N'exécute pas `rea doctor`, ne lance aucun setup (dry-run ou autre), n'enregistre aucun serveur MCP, n'installe ni Hopper ni aucun moteur, et n'analyse aucun artefact pendant cette installation : connecter REA et utiliser le skill sont des étapes séparées qui ne commencent que quand je le demande plus tard. 3. Quand je dis « yes, install », installe-le comme skill : copie tout le dossier reverse-engineer-anything dans le répertoire des skills de l'agent, dans un dossier nommé exactement « reverse-engineer-anything », en gardant ses 7 fichiers dans leur arborescence relative d'origine (SKILL.md à sa racine). 4. Vérifie sans appels réseau : frontmatter valide (name: reverse-engineer-anything), les 7 fichiers en place avec des empreintes concordantes. N'exécute rien du dossier et n'utilise pas le skill pour vérifier. 5. Indique ce qui a été installé, où, et ce qu'il me reste à faire moi-même (par exemple : que l'utiliser est une étape séparée : le skill seul n'enregistre aucun serveur MCP et n'installe aucun moteur, connecter REA signifie lancer le serveur npx rea-agents et, pour la plupart des types de cibles, fournir mes propres moteurs d'analyse (comme Ghidra/Hopper, JADX plus Java pour Android), que tout setup montre d'abord un plan en lecture seule (dry-run) et exige mon approbation avant d'écrire une configuration, et que REA vise des artefacts que je possède ou que je suis autorisé à examiner, dans les limites du DISCLAIMER.md du projet). GitHub est optionnel : si j'ai un compte GitHub ou la CLI gh, tu peux l'utiliser ; sinon l'accès public suffit. Ne jamais l'exiger sauf s'il figure dans les prérequis ci-dessus. Règles : ne touche à rien en dehors du dossier temporaire et de la cible d'installation. Si quelque chose semble anormal, arrête-toi et demande-moi.