eleven: Agent-first reverse engineering for macOS, Windows and Linux（eleven：面向 Agent 的跨平台逆向工程）

📅 2026-10-13 | 🏷️ 值得研究的仓库 | ⭐ ⭐673（7天）| 💻 TypeScript
🔗 原文：https://github.com/Zfinix/eleven

是什么

eleven 是一个「Agent 优先（Agent-first）」的逆向工程工具，覆盖 macOS、Windows 和 Linux，官方描述为：任意 ACP Agent 都可以在它之上读取、重命名和修补二进制文件、Android 应用以及 GPU 内核——就像坐在你旁边的一位逆向工程搭档。7 天窗口内获得 673 星。

🔍 小白解读

先说几个词

• 逆向工程：拿到一个只有机器码的成品程序（没有源代码），反推出它的工作原理，好比把一道菜吃一口就还原出菜谱。
• 二进制（binary）：编译后的程序文件，人类读不懂的 0 和 1，逆向工程的第一步是把它翻译回接近人类语言的形态。
• 修补（patching）：在不动源代码的前提下直接改二进制里的指令，好比在成品衣服上直接改线头而不是重新剪裁。
• ACP（Agent Client Protocol）：编程 Agent 与外部工具之间通信的开放协议，让 Claude Code、Codex 这类 Agent 能「插上」各种专业工具。
• GPU 内核：显卡上真正执行计算的小段程序，性能关键也最难分析，通常是逆向工程的硬骨头。

这篇到底在说什么

打个比方：传统逆向工程像一个人举着放大镜看代码，一页页翻；eleven 做的事是把放大镜接到 AI Agent 手上——Agent 可以通过它读二进制、给函数起人类可读的名字、直接修改指令，并且跨三大桌面系统加上 Android 应用和 GPU 内核。这正是「Agent + 专业工具」浪潮里的一个新空白点：写代码、改文档的 Agent 工具已经很多，但面向安全研究、恶意软件分析、遗产系统维护这类「没有源代码」场景的工具极少。11 天 673 星说明需求真实存在。它的底层逻辑与数据库 MCP、浏览器 MCP 类似：把专业领域的能力封装成 Agent 可调用的接口。具体支持的架构、工作流和成熟度，以仓库文档为准。

这跟普通人有什么关系

普通用户不会直接用逆向工程工具，但间接受益很实在：安全研究员分析病毒更快，漏洞补丁就来得更快；老旧软件（原厂已倒闭）更容易被社区修复和续命；游戏与软件的兼容性分析也更高效。

为什么值得架构师关注

这个项目代表「Agent 能力半径」的又一次外扩：从「写新代码」延伸到「理解无源码的黑盒系统」。对企业的直接影响有两处：一是遗留系统维护——供应商跑路、文档丢失的二进制资产，可以用 Agent+逆向的方式做分析和迁移评估；二是安全团队的工具链升级——恶意样本分析、依赖审计可借助此类工具提效。评估要点：ACP 协议与自家 Agent 平台的兼容性、在隔离环境（沙箱）中运行的安全性、以及合法合规边界（逆向受 EULA 与当地法律约束）。早期项目，星数增长快但生产可用性未经验证。

核心内容

• 仓库 Zfinix/eleven，TypeScript 实现，2026-10-13 创建，7 天 673 星。
• 定位：Agent-first 逆向工程，支持 macOS/Windows/Linux，目标对象包括二进制、Android 应用与 GPU 内核。
• 集成方式：面向「任意 ACP Agent」设计，即通过开放协议挂接到主流编程 Agent。
• 解决的具体问题：逆向工程缺乏 Agent 化工具，「无源码系统」的分析效率低。
• 核心操作能力：读取、重命名（把机器符号翻译成人类可读名称）、修补。

行动建议

安全团队与维护遗留系统的团队值得评估：在隔离沙箱中试用其对一个内部二进制做「读取+重命名」流程，测量与传统 IDA/Ghidra 工作流的效率差异；同时确认法务对逆向使用的合规边界。不建议立即进入生产流程，作为技术雷达观察项跟踪。