REA, l’outil viral qui « copie » les applis avec l’IA : ce que le droit européen autorise vraiment

EDIT 1 · 04:23 : article complété : le test en détail, ce que le binaire de Mouse a révélé et l’histoire belge de l’arrêt Top System.

Shubham Sharma avait choisi sa cible : Keystroke Pro, une petite appli Mac payante qui affiche à l’écran les raccourcis clavier. L’idée était de la faire démonter en direct par Claude Code, d’en recoder une version maison et de ne plus la payer. C’est l’agent qui a freiné. Avant de décompiler quoi que ce soit, il a rappelé que la licence de l’appli interdit la décompilation et que la loi ne l’autorise que pour faire dialoguer deux logiciels. Le vidéaste a changé de cible.

La scène ouvre son test du 22 octobre 2026, tourné pour sa série « Anti-Hype ». L’outil à l’épreuve s’appelle REA, pour « Reverse Engineer Anything ». Il promet de comprendre n’importe quelle application sans son code source, puis d’en écrire sa propre version. Le test montre ce qu’il sait faire, ce qu’il ne change pas, et pourquoi le droit européen lui pose une limite nette.

Un chef d’orchestre pour désassembleurs

REA est un serveur MCP, une passerelle qui permet à un agent d’IA d’appeler des outils. Publié en avril 2026 sous licence libre MIT, il se branche sur Claude Code, Codex, Cursor ou Gemini CLI. Pour les programmes compilés, il pilote des désassembleurs, ces logiciels qui traduisent le langage machine en pseudo-code lisible : Ghidra, Hopper ou IDA. Il fouille aussi les applis Android, les programmes .NET, les sites web et les nombreuses applis de bureau qui ne sont, au fond, que des pages web emballées.

Le pitch du dépôt est sans détour : vous voyez dans une appli une fonction qui vous plaît, l’agent l’examine, explique comment elle marche, montre ses preuves et en construit une version pour votre projet. L’analyse tourne sur votre ordinateur, précise le dépôt, mais ses résultats partent chez le fournisseur du modèle d’IA.

Le succès est spectaculaire. Le 26 octobre 2026, le dépôt affichait 385 064 étoiles sur GitHub, quatre fois plus que Ghidra lui-même (94 338). Son paquet a été téléchargé 634 318 fois du 23 septembre au 22 octobre, dont 397 275 fois pour la seule semaine du 16 au 22 octobre. Ces compteurs disent l’engouement, pas le nombre de personnes qui s’en servent vraiment.

La rétro-ingénierie, elle, n’a rien de neuf. Ghidra a été rendu public par la NSA en 2019. Selon sa documentation, l’agence s’en sert pour analyser du code malveillant et chercher des failles : démonter un programme est d’abord un métier de défense. Un connecteur entre Ghidra et les agents existait dès mars 2025, et des bidouilleurs confiaient déjà à un agent le soin de vider leur TV de ses pubs (on en a parlé ICI). Ce qui change avec REA : l’agent pilote seul. Il lit le pseudo-code, formule une hypothèse, la vérifie, recommence.

Mouse contre Jerry

Faute de Keystroke Pro, le test s’est fait sur Mouse, un utilitaire gratuit qui met le curseur en valeur pendant les démonstrations. L’agent a annoncé une réimplémentation propre : le même comportement, mais son propre code, sans reprendre le binaire, les sons ni l’icône de Mouse. Et un autre nom en cas de diffusion. Le clone s’appelle Jerry.

Une dizaine de minutes plus tard, Jerry tournait : anneau autour du curseur, effets de clic avec particules, néon ou traînée, son du clic, projecteur activé au clavier, annotations à main levée. Le vidéaste trouve le menu de réglages de Mouse plus soigné, mais toutes les fonctions sont là. Il demande ensuite d’afficher les touches tapées à l’écran, ce que faisait Keystroke Pro. Jerry l’a appris dans la foulée.

En parallèle, une seconde session de Claude Code a reçu la même mission, sans REA. Elle s’est contentée d’observer Mouse en fonctionnement et a fini en 8 minutes. Premier lancement bloqué, un réglage inopérant, un peu plus de débogage : le résultat reste proche. Verdict de Shubham Sharma : « on n’avait pas forcément besoin de REA ». L’outil aide surtout à réussir du premier coup.

Ce que le binaire raconte

L’analyse a pourtant livré quelque chose que l’observation seule ne donnait pas. Dans le binaire de Mouse, l’agent a repéré des traces de fonctions payantes absentes de la version publique, dont un zoom. Il a aussi trouvé que l’appli tient ses propres statistiques sur le Mac : temps d’utilisation cumulé, nombre de lancements, date d’installation.

Rien d’illégal ni d’inquiétant en soi : ces données restent dans les préférences de l’ordinateur, et la vidéo ne montre aucun envoi. Mais c’est l’usage le plus utile de ce genre d’outil pour un utilisateur ordinaire : savoir ce qu’une appli enregistre sur lui.

Le mur des serveurs

Mouse fonctionne entièrement sur l’ordinateur. Pour la dictée vocale de Wispr Flow ou les résumés de réunion de Granola, les deux exemples cités par le vidéaste, c’est une autre histoire : selon lui, la voix et les textes partent sur les serveurs de l’éditeur, où tourne l’essentiel du code. Aucun désassembleur n’analyse ce qui n’est pas sur votre machine.

C’est le cas de la plupart des logiciels par abonnement. On peut copier la vitrine, pas l’arrière-boutique. Et pour les applis web, REA n’apporte pas grand-chose : leur HTML et leur JavaScript arrivent déjà dans le navigateur, lisibles par n’importe quel agent.

Une affaire belge au cœur du droit

En Belgique comme dans le reste de l’Union, la règle vient de la directive 2009/24/CE sur les programmes d’ordinateur. Le code est protégé par le droit d’auteur, pas les idées qui le sous-tendent : recoder une fonction vue ailleurs reste possible. Tout dépend de la manière d’y arriver.

La troisième ligne a une histoire belge. Top System, une société belge, développait depuis 1990 les applications du Selor, l’organisme public qui recrute pour l’administration fédérale. En 2008, des problèmes de fonctionnement apparaissent. En 2009, Top System attaque le Selor devant le tribunal de commerce de Bruxelles : elle l’accuse d’avoir décompilé une partie de son logiciel. Saisie par la cour d’appel de Bruxelles, la Cour de justice de l’UE tranche en 2021 : l’acquéreur légitime peut décompiler pour corriger des erreurs, dans la mesure nécessaire et dans le respect du contrat. Entre la plainte et l’arrêt européen, douze ans ont passé.

Décompiler une appli pour en fabriquer une concurrente n’entre dans aucune de ces cases. Dans le test, la méthode que le texte couvre le plus clairement est celle de la seconde session : observer, puis réécrire. C’est aussi, à peu de chose près, ce que l’agent avait conseillé d’emblée pour Keystroke Pro.

Ce que vaut encore un petit logiciel

Shubham Sharma en tire une conclusion économique : si chacun peut se refaire un utilitaire en dix minutes, sa valeur s’effondre, et ce qui compte devient la capacité à le diffuser et à l’adapter à un public précis. Il prédit une foule de micro-éditeurs, comme un logiciel de gestion de clientèle pensé pour les boulangeries et vendu quelques euros par mois.

Le test lui donne en partie raison, mais pour une catégorie bien précise : les petites applis payantes qui tournent seules sur un ordinateur. Les services en ligne, eux, gardent leur code hors de portée. Et dans les deux cas, en Europe, la voie légale passe par l’observation, pas par la décompilation.

En bref

• REA, gratuit et libre, branche les agents d’IA sur des désassembleurs comme Ghidra pour analyser une appli sans son code source.
• Test du 22 octobre 2026 : une appli Mac refaite en 10 minutes avec REA, en 8 sans, pour un résultat proche ; l’analyse du binaire a en plus révélé ce que l’appli enregistre.
• Les applis qui reposent sur un serveur restent hors de portée : leur code n’est pas sur votre machine.
• En Europe, observer et tester une appli est permis ; la décompiler pour la cloner ne l’est pas. La Cour de justice l’admet pour corriger une erreur, depuis une affaire belge.

Sources : dépôt GitHub de REA ; paquet rea-agents sur npm ; Shubham Sharma, « J’ai testé l’outil IA viral qui permet de COPIER n’importe quelle app », YouTube, 22 octobre 2026 ; directive 2009/24/CE, EUR-Lex ; CJUE, arrêt Top System, C-13/20, 6 octobre 2021 ; documentation de Ghidra (NSA) ; GhidraMCP.

Le Bien Heureux · Rédaction Capibara · Lundi 26 octobre 2026