REA, ArtCraft et la fin de l'avantage du code fermé

Le 11 octobre 2026 au matin, le dépôt GitHub de REA comptait 76 998 étoiles, après en avoir gagné 25 793 en une journée¹. Neuf jours plus tard, Connor Turland en relevait environ 348 000². Dans le même intervalle, l'équipe d'ArtCraft publiait des réécritures en Rust de Photoshop, Premiere et Lightroom, puis de Word, Excel et PowerPoint. Les deux projets disent la même chose aux éditeurs : le code que vous installez sur le poste de votre client est devenu lisible par n'importe quel agent. Nous pensons que c'est une bonne nouvelle pour qui sait où se trouve sa valeur.

Ce que nous avons vu en octobre

REA ne décompile rien lui-même. L'outil branche un agent de code sur des moteurs qui existent depuis des années (Ghidra, Hopper, IDA, JADX) et sur ses propres analyseurs JavaScript et .NET, puis renvoie chaque conclusion avec ses preuves et ses limites. Le saut tient au coût. Le 20 octobre, Connor Turland a pointé REA sur Slack 4.52.171 : en une dizaine de minutes, il a reconstitué la logique qui décide d'afficher ou non une alerte Ne pas déranger, avec un délai de garde de 2 secondes, un cache de 5 secondes derrière un drapeau de fonctionnalité et une liste d'avertissements gardée en cache une heure². Sa conclusion porte sur l'économie de la chose : ce qui a changé, c'est « how much curiosity costs ».

ArtCraft montre l'étape suivante : comprendre un comportement, puis le réécrire. Les dépôts présentent PhotoCraft comme une réimplémentation clean-room de Photoshop, écrite avec Claude. La revendication n'est pas auditée, et notre étude de cas détaille ce qu'elle vaut en droit. Le fait brut demeure : une fonctionnalité visible se réimplémente en quelques semaines.

Le 20 octobre, 404 Media décrivait une vague plus large, rapportée par Let's Data Science : des systèmes de téléviseurs connectés remplacés pour retirer la publicité, des objets abandonnés par leur fabricant remis en service³. L'article ne dit pas que REA a servi pour ces projets ; il décrit un climat.

Ce qui ne protège plus

Le secret de la logique côté client. Minification, empaquetage Electron, compilation native ralentissaient un humain. Ils ralentissent peu un agent qui pilote un décompilateur et lit le résultat sans se lasser. Dans le test d'Ishank Choudhary, sur le code minifié d'une application Electron, REA a restitué l'expression réelle d'un nom de canal construit dynamiquement plutôt qu'une chaîne inventée¹.

Si l'avantage de votre produit tient à une règle de calcul, une heuristique ou une clé embarquée dans l'application installée, considérez-la comme exposée. Les secrets rangés dans l'archive d'une application Electron en sont le cas d'école, traité dans notre page sur l'ASAR et ses secrets.

Les outils ont leurs limites, et nous les documentons : dans le même test, REA a manqué deux scripts de préchargement chargés par une fonction d'aide, et ses sorties pèsent lourd dans le contexte d'un agent (voir les limites réelles de REA). Ces limites reculent à chaque version. Une stratégie produit ne peut pas parier dessus.

Ce qui protège toujours

Les données, les utilisateurs, le serveur, la distribution, la marque et la vitesse d'exécution. Reprenons l'exemple de Slack : un agent lit en dix minutes qu'une liste d'avertissements reste en cache une heure. Il ne lit pas l'incident d'exploitation qui a conduit une équipe à fixer ce délai, ni les mesures qui l'ont validé, ni la relation avec les clients qui ont remonté le problème. Ce savoir vit côté serveur et dans l'organisation.

Le droit d'auteur protège toujours le code et les ressources, dans les limites des exceptions prévues (observation, interopérabilité, correction d'erreurs). Il n'a jamais protégé la fonctionnalité d'un programme : la Cour de justice l'a dit dans l'arrêt SAS Institute de 2012, même si un brevet, un secret des affaires ou un contrat peuvent encore jouer. En 2026, cette absence de protection devient exploitable à grande échelle. Notre page sur le clean-room et la rétro-ingénierie pose les repères.

Ce que nous recommandons à un éditeur

Déplacez la valeur côté serveur : règles de tarification, contrôles de licence, heuristiques métier. Traitez le client comme du code public, sans secret durable ; utilisez des jetons courts, obtenus à l'exécution et révocables. Investissez dans la donnée, la relation et le rythme de livraison, qu'aucun agent ne copie. Et regardez votre produit avec les yeux d'un agent avant vos concurrents : notre guide pour les éditeurs dont le logiciel est lisible par n'importe quel agent décrit la démarche.

Le même renversement concerne les équipes sécurité, qui disposent désormais d'un analyste infatigable pour leurs propres binaires et, dans le cadre que leur contrat et la loi permettent, ceux de leurs fournisseurs (voir notre hub sécurité), et les DSI qui portent des applications sans code source, pour qui la rétro-documentation devient abordable (voir le hub legacy).

Questions fréquentes

Le code fermé est-il mort ?

Non. Il reste protégé par le droit d'auteur et par la licence. Il ne cache plus la logique qu'il exécute sur le poste du client.

Faut-il arrêter de minifier ou d'obfusquer ?

Non, mais sans compter dessus comme protection. Sur du code minifié, REA a restitué l'expression réelle d'un nom de canal plutôt qu'une chaîne inventée.

Que faire concrètement ?

Inventorier ce que votre application installée contient, déplacer la logique sensible et les secrets côté serveur, puis vérifier le résultat avec les mêmes outils qu'un tiers.

Peut-on interdire la rétro-ingénierie par contrat ?

En partie seulement : en France, certaines clauses sont nulles. Notre page sur les clauses de licence le détaille, sous réserve de l'avis de votre juriste.

L'offre AI Cyber regarde le binaire que vous livrez comme le ferait un agent tiers, sans le code source, puis remonte en boîte blanche à votre code pour corriger ce qu'il expose avant que quelqu'un d'autre ne le découvre.

Sources

1. Ishank Choudhary, I Tested REA, GitHub's Viral Reverse Engineering Tool, on a Real Electron App — hackernoon.com, 14 octobre 2026.
2. Connor Turland, What is REA (Reverse Engineer Anything)? I ran it on Slack to find out — atcyrus.com, 20 octobre 2026.
3. Let's Data Science, AI Reverse-Engineering Wave Hits TVs, IoT Devices and Desktop Apps, d'après 404 Media, 'Reverse-Engineer Anything' Is the New Wild West of AI (20 octobre 2026) — letsdatascience.com.