Ghidra

Un framework de rétro-ingénierie publié par la NSA

Ghidra est un framework de rétro-ingénierie logicielle (« software reverse engineering », SRE) « created and maintained by the National Security Agency Research Directorate », selon le README du dépôt. La NSA l'a rendu public en mars 2019 : le dépôt GitHub date du 1er mars 2019 et le journal des versions commence à la 9.0.1, datée du même mois. La licence est Apache 2.0, et le dépôt comptait 93 381 étoiles le 23 octobre 2026. Le projet continue de livrer : la 11.3 est sortie le 6 février 2025, la 12.1.4 le 21 septembre 2026 et la 12.2 le 22 octobre 2026.

Ghidra désassemble un binaire, reconstruit ses fonctions et produit un pseudocode proche du C, que l'analyste lit à la place de l'assembleur. Depuis la 11.3, PyGhidra, l'intégration Python, fait partie de la distribution : c'est ce que des projets tiers comme DelphiReSym exigent (Ghidra 11.3 ou plus récent), et ce que le mode headless de GhidraMCP utilise. Sous Linux arm64, le décompilateur natif ne vient pas compilé : Javier Cañete Arroyo a dû lancer gradlew buildNatives avant de décompiler un binaire C sans symboles avec Ghidra 12.1.4, et y retrouver les constantes 31, 9973 et 4242 qu'il y avait placées.

Comment REA pilote Ghidra

REA (Reverse Engineer Anything) ne contient aucun moteur natif : « Deep native analysis uses one of them [Hopper, Ghidra, IDA] », dit sa FAQ, et REA ne télécharge ni n'installe Ghidra ou Java. L'agent reçoit en retour du pseudocode, de l'assembleur, des chaînes, des symboles et des références croisées. Le README de REA précise que Ghidra « also supports 16-bit DOS analysis », ce qu'illustrent deux de ses démonstrations officielles : la reconstruction d'un calcul de panoramique sonore de DX-Ball (« passes 3,205 original-x86 cases and reproduces all 63 compiled function bytes ») et un calcul d'anneau de projectiles 16 bits du jeu PC-98 TH04. Un document séparé, docs/ghidra-nativeaot.md, couvre les corps natifs des applications .NET compilées en NativeAOT.

Le pont entre REA et Ghidra est authentifié par un jeton de capacité aléatoire propre à chaque session, sur socket Unix de l'utilisateur courant sous Linux et macOS, en TCP local authentifié sous Windows. Chaque session Ghidra ouvre un projet temporaire isolé, avec des répertoires privés et des limites de CPU et de mémoire, supprimé à la fermeture. Le fichier SECURITY.md de REA fixe la portée de ces mesures : « These controls limit accidental persistence and resource use; they do not make Ghidra a sandbox. » Un binaire piégé qui exploiterait une faille de l'importeur s'exécuterait avec les droits de l'utilisateur.

GhidraMCP, l'autre pont

GhidraMCP, publié par LaurieWired sous licence Apache 2.0 (11 494 étoiles le 23 octobre 2026, dernier push le 10 octobre), expose Ghidra à un agent par un serveur MCP dédié. Deux différences avec REA. GhidraMCP écrit dans le projet Ghidra (« Automatically rename methods and data »), là où REA en lit la sortie ; et il ne couvre que Ghidra, quand REA traverse les couches, du renderer Electron à l'add-on natif. Javier Cañete Arroyo en tire une règle de choix : si l'on ne fait que décompiler et que l'on a déjà IDA ou Ghidra, un pont mono-moteur ajoute moins de surface ; REA prend son sens quand la question traverse plusieurs formats.

Brian Crawford et Patrick McClure (arXiv, 29 mai 2026) ont montré, avec GhidraMCP en montage d'exemple, que des chaînes d'injection de prompt cachées dans un binaire peuvent amener un agent de rétro-ingénierie à rapporter qu'un programme fait autre chose que ce qu'il fait. Le décompilateur, lui, n'est pas trompé : c'est le modèle qui lit sa sortie qui l'est. D'où la lecture en deux temps que SFEIR applique dans l'offre AI Cyber : l'agent propose, un humain vérifie la preuve dans le pseudocode.

Le cas des applications legacy

Pour une application Delphi dont le code source est perdu, DelphiReSym (WenzWenzWenz, licence BSD-3-Clause) restaure dans Ghidra, via PyGhidra, le contexte sémantique tiré des métadonnées : versions Delphi 2010 puis XE à XE6 et suivantes, conçu pour « Delphi malware and legacy applications ». Les scripts dhrake (huettenhain) font le pont avec IDR, l'Interactive Delphi Reconstructor : IDR extrait les symboles en script IDC, DhrakeInit les importe dans Ghidra et DhrakeParseClass reconstruit les classes depuis la table des méthodes virtuelles. Pour Visual Basic 3, ghidra-vb3 (dfl, mai 2026) désassemble le p-code interprété par VBRUN300.DLL ; l'issue #4627 de REA, ouverte le 17 octobre 2026, propose d'y relier REA, qui rejette encore les exécutables Windows 16 bits au format NE. Ce que Ghidra rend lisible redevient spécifiable : c'est l'entrée de la démarche de modernisation du legacy.