REA, GhidraMCP ou ida-pro-mcp : quel MCP de rétro-ingénierie choisir

Trois serveurs MCP dominent la rétro-ingénierie par agents à l'automne 2026. REA orchestre plusieurs moteurs et une trentaine de types de cibles. GhidraMCP branche un agent sur Ghidra. ida-pro-mcp le branche sur IDA Pro. Le bon choix dépend de votre parc et des licences que vous possédez déjà.

Trois architectures

REA (dépôt morluto/rea, licence MIT) est un orchestrateur. Pour le natif, il pilote Hopper, Ghidra ou IDA ; il analyse lui-même JavaScript et Electron, .NET, les APK via JADX, le firmware via Binwalk ou Unblob, les sites web via un navigateur Chrome¹. Chaque conclusion arrive avec ses preuves et ses limitations.

GhidraMCP (LaurieWired, licence Apache-2.0) relie un agent à Ghidra, gratuit et open source. Le serveur expose les fonctions de Ghidra au client MCP et peut analyser un binaire sans interface graphique via PyGhidra. Il écrit dans le projet : son README annonce le renommage automatique des méthodes et des données, donc des écritures dans le projet Ghidra².

ida-pro-mcp (mrexodia, licence MIT) relie un agent à IDA Pro 8.3 ou plus récent, la version 9 étant recommandée ; IDA Free n'est pas pris en charge. Ses outils écrivent dans la base (valeurs, types) et l'un d'eux, py_eval, exécute du Python arbitraire dans le contexte d'IDA. Le README s'ouvre aujourd'hui sur une recommandation de son auteur : utiliser plutôt le serveur MCP officiel publié par Hex-Rays³.

Le coût des moteurs

Ghidra ne coûte rien. Chez Hex-Rays, la grille consultée le 23 octobre 2026 affiche IDA Pro Essential à partir de 1 099 € par an, Expert à partir de 4 999 € et Ultimate à partir de 8 599 € ; IDA Home coûte 365 $ et IDA Free reste gratuit, limité au x86 et x64 avec des décompilateurs dans le cloud. Hex-Rays présente IDA Free comme un moyen d'évaluer les fonctions de base et range IDA Home sous l'onglet « For individual, non-commercial use » : pour un usage d'entreprise, il faut IDA Pro. La même page présente l'offre « IDA MCP » pour piloter IDA depuis un assistant⁴. Hopper est commercial, sous macOS et Linux.

REA ne fournit aucune licence : son DISCLAIMER rappelle qu'IDA Pro, Hopper et JEB doivent être acquis légalement et qu'un pont open source n'ajoute aucun droit d'automatisation ou d'usage⁵. Le coût d'un poste REA dépend donc du moteur que vous branchez.

La couverture

Si votre besoin se limite à des binaires natifs, GhidraMCP ou un serveur IDA suffisent et ajoutent moins de surface. Javier Cañete Arroyo (Jacar Systems) le formule après avoir testé REA 6.7.0 : avec IDA ou Ghidra déjà en place, un pont mono-moteur est plus léger, et REA prend l'avantage quand la question traverse les couches, par exemple pour suivre une fonction du renderer d'une application Electron jusqu'à un add-on natif⁶. Sur un parc mixte (Electron, .NET, Android, natif), un seul point d'entrée vaut aussi par la cohérence du format de preuves (voir ce que REA révèle d'une application Electron).

La gouvernance

Les trois outils écrivent ou exécutent quelque chose. GhidraMCP renomme dans le projet ; ida-pro-mcp modifie la base et exécute du Python ; REA lance des moteurs avec les droits de l'utilisateur et sa politique de sécurité précise qu'il n'est pas un sandbox. Le confinement s'impose dans tous les cas pour un binaire inconnu (REA n'est pas un sandbox).

Le poids dans le contexte de l'agent diffère aussi. REA 6.7.0 expose 207 outils ; la liste complète pèse 3 158 352 octets, et le profil compact la ramène à 219 211 octets selon le test de Jacar Systems⁶. Mesurez sur votre client MCP (voir les limites réelles de REA), puis épinglez la version retenue (déployer REA en entreprise).

La popularité ne départage pas grand-chose : au 23 octobre 2026, l'API GitHub compte 11 494 étoiles pour GhidraMCP, 13 103 pour ida-pro-mcp et 369 860 pour REA, dont l'essentiel accumulé en octobre⁷.

Notre grille de choix

Pas de licence commerciale, du natif seul, une équipe qui apprend : GhidraMCP. Une licence IDA Pro déjà en place et le besoin d'annoter la base depuis l'agent : le serveur officiel de Hex-Rays, ou ida-pro-mcp en connaissance de ses droits d'exécution. Un parc hétérogène et le besoin de preuves vérifiables dans un format unique : REA, avec un profil compact et une version épinglée.

Pour l'architecture de l'outil et son installation, voir REA expliqué en trois schémas.

Questions fréquentes

REA remplace-t-il Ghidra ?

Non. Il le pilote, comme GhidraMCP. Le décompilateur reste Ghidra, Hopper ou IDA.

ida-pro-mcp fonctionne-t-il avec IDA Free ?

Non, il exige IDA Pro 8.3 ou plus récent.

Lequel pour un parc mixte ?

REA, pour la couverture des formats non natifs et le format de preuves commun.

Cadrer le choix

Dans l'offre AI Cyber, nous choisissons le moteur selon le code à auditer, les licences existantes et les règles de confinement du client.

Sources

1. morluto/rea, README, github.com/morluto/rea, consulté le 20 octobre 2026.
2. LaurieWired, GhidraMCP, README, github.com, consulté le 20 octobre 2026.
3. mrexodia, ida-pro-mcp, README, github.com, consulté le 20 octobre 2026 ; serveur officiel : github.com/HexRaysSA/ida-mcp.
4. Hex-Rays, Pricing, hex-rays.com/pricing, consulté le 23 octobre 2026.
5. morluto/rea, DISCLAIMER.md, github.com, consulté le 20 octobre 2026.
6. Javier Cañete Arroyo (Jacar Systems), REA: ingeniería inversa con tu agente de código, probada con Ghidra y Electron, jacar.es, 19 octobre 2026.
7. API GitHub, dépôts LaurieWired/GhidraMCP, mrexodia/ida-pro-mcp et morluto/rea, relevé du 23 octobre 2026.