今天GitHub趋势榜上是两个把”专业活儿”交给Agent干的项目：一个让AI做逆向工程，一个让AI当安全审计员。星数都是我发文前现查的。
REA：1.6万星，把逆向工程做成一个MCP
morluto/rea（Reverse Engineer Anything）16.4K星、1700+ fork，TypeScript写的，MIT协议，今年4月才建仓，今天一天就涨了4655星，昨晚刚发了5.0.0版。它干的事很直白：给你正在用的Claude Code、Codex、Cursor、Gemini CLI 接一个MCP服务器，再配上一套工作流说明，让Agent能去扒别人的程序。
能分析什么？原生二进制（走本机已装的 Hopper 或 Ghidra）、JavaScript/Electron 应用、.NET 程序集，还有网站。纯JS方向的静态分析不需要额外引擎，一条命令就能出结果：
npx -y rea-agents@latest analyze-javascript-application /path/to/app --json
装起来也简单，npx rea-agents setup 会把MCP和工作流配置写进你选的Agent，改动前给你过目，还会备份原配置；想常驻命令行可以 npm install -g rea-agents 拿到 rea 命令，升级也有 rea update。分析全在本地跑，代码不往外传，这点对逆向场景挺关键。目前仓库开着96个issue，版本迭代很快，README自己也提醒”更新频繁，保持最新”。官方给的提问姿势是：「看看笔记App的搜索是怎么做的，把证据给我，再照着给我的项目做一个」——它会在本地跑分析，返回的每条结论都带源码位置和”这次没查清的部分”。
Cloudflare安全审计Skill：2.6万星，六阶段挖漏洞
cloudflare/security-audit-skill 26.2K星、1571 fork，6月18日开仓，今天涨了576星。来头不小：Cloudflare 官方博客里那套全网漏洞猎寻 harness，就是从这个单仓库Skill长出来的。
它把一次审计拆成六步：侦察（画架构、信任边界、输入面，写进 architecture.md 和 coverage-ledger.json）→ 按台账派隔离Hunter做覆盖狩猎 → 每个候选漏洞交给一个全新的Agent专门去证伪 → 结果写进 findings.json 并过 report-schema.json 校验 → 再换一个Agent复核来源声明 → 最后从核验过的记录里生成报告。判定只有三档：confirmed（来源链完整）、needs_validation（有确切的未决事实）、rejected（被证伪）。两个校验器 validate-findings.cjs 和 validate-coverage-ledger.cjs 零依赖，每轮更新后都要重跑。同一仓库反复跑是累加的，它会拿旧台账找缺口，不把过期结果当成已覆盖。
安装就一句：
npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit
然后在仓库里直接说 “security audit this codebase”。Skill目录里除了流程说明，还按攻击面拆了十几份狩猎提示：内存安全与二进制、AI与LLM（提示注入、工具调用）、Web协议与鉴权、客户端DOM、供应链与发布签名、云部署与IAM、RPC与消息队列、资源耗尽、数据隔离、桌面与本地IPC……等于把一份安全审查清单直接塞进了你的Agent。
实话
两个项目其实是一路货：不写新模型，而是把专业工序拆成Agent能照着执行的步骤，再用”证据”和”复核”堵住AI顺嘴胡说的毛病——这才是今年skill类项目涨星的真原因。
但坑也明摆着。REA的原生二进制分析要你本机有 Hopper（收费）或 Ghidra（免费但要自己配），Node版本还卡在22.19+/24.11+/26+；它给的证据是Agent读出来的，别当免检。Cloudflare这个Skill最后一次提交停在9月14日，两周没动了，而且明确要求模型支持工具调用和并行子Agent、还得有OS级沙箱——本地小模型基本跑不动，属于”上大模型才划算”的类型。
