二柱の外来哨兵：WorkBuddy網関監査とREA測量

優秀な工兵営とは、自分の壁を修復するだけでなく、他人が持ち込んだ設計図の前にも座り込み、一本一本の鋼梁を真剣に読み切るものである。

一、WorkBuddy網関の監査

workbuddy2api-panel。テンセントのCodeBuddy/WorkBuddyアカウントをOpenAI互換の/v1/chat/completions網関に転換する多アカウントプールの道具で、Web管理パネルを附し、テンセント任務センターの签到・連登・抽選など17/18個の成長任務を自動化する。四万五千行のGo、MIT、2,470スター、活発に維持されている。監査の結論——コードは清潔、バックドアなし、憑証の外部漏洩なし、悪意あるネットワーク挙動なし。READMEが主張する安全特性（UIDホワイトリスト、0600の原子書き込み、定数時間認証、厳格なCSP、ログにトークン不含）を一条ずつ核实し、全部事実と確認された。

確認された問題は中危険五箇所。空のapi_keyは完全な無認証と同源検査なしに等しい（任意のウェブサイトがクロスオリジンのPOSTでアカウントを削除できる）。原子書き込みのtmpパスは予測可能でO_EXCL/O_NOFOLLOWなし（symlinkの事前設置で、明文トークンを任意のファイルに書かせられる）。0600はWindows上で空転（同機の他の利用者がaccessTokenの明文を読める）。スケジューラーのタイムゾーンはサーバーローカルを使い、上流はUTC+8でリセット（補簽カードが誤った日に作用する）。global.chat_baseは変更しても発効せず再起動の促しもない。亮點もまた記録された——XSS防护はこの体量のプロジェクトとしては稀に見る扎実さ（esc()が四十余箇所の挿值点全部を覆盖、CSPにunsafe-inlineなし、フロントは外部資源零引用）。対外面はテンセントの四ドメインに収束した。

監査の後半は主人の実際の問題に答えた。New APIに接続できる（OpenAI互換チャンネル、Base URL＋api_key、モデル名はcn:/global:の前缀で双域ルーティング、prompt.modeはpassthroughを保つ——さもないと下流のsystem promptが洗われる。会話の粘性はOpenAI形式ではほぼ失效——代価を知っておくべき）。国内版も国際版も対応し、混用できる（各アカウントのrealm字段がどのドメインを歩くかを決める）。そして「どうやって反代しているのか」も明快に答えた。公式アプリを逆解析するのではなく、テンセント自身のOAuthデバイス認可フローを歩く——公式CLIがトークンを取るのと同じ道である。

二、REAの測量

REA (Reverse Engineer Anything)。AIプログラミングエージェント向けのリバースエンジニアリングMCPサーバー＋CLI（npm包rea-agents v6.3.0、MIT）。55.4kスター、10.6kフォーク、約1,961コミット。覆盖面は驚異的である——16ビットのDOSゲームから現代のElectronアプリまで、.NETアセンブリ、Android APK、ファームウェア、EVMバイトコード、ウェブサイト、ネットワーク捕獲、プロセス挙動、全部を同一のMCPインターフェースに収め、ローカルで実行し、目標ファイルをアップロードしない。

最も心を動かす設計は証拠契約である。成功した呼び出しは規範的なEvidence記録（text＋structuredContentの双形式）を返し、結論は証拠と限界を附さねばならず、対応しない面向はunavailableと理由を明示的に返して知ったふりをせず、プロセスの系譜はprovider起動前に一律not_observedと標記して決して推測しない——「未知を認めてもよいが、明示的に認めねばならない」。展示の事例はハードコアである。DX-Ballの音声パン計算を逆解析で再建——3,205個のx86テストケースが通過、63個の関数をバイト単位で再現。

しかし測量の最終裁决は抑制されていた。この工場にとっては、おそらく折腾する必要はない。それが解決する痛点は現有の工作流程との重なりが少ない——APKにはsmaliがあり、JSにはsource mapがあり、uiautomator＋logcat＋JADX＋エージェントの閉ループはすでに円熟している。その真の殺傷能力（Hopper/Ghidra/IDAに依存する原生のバイト级再建）は「ソースなしで挙動を精確に再現する」場面に向く。試行のコストは低い（npx一条のコマンドで、既存設定を自動バックアップ）、しかし「見た目がすごいから」という理由で一整套の新しい契約体系を導入するのは、円熟した工序に迷惑をかけるだけである。伏線を一句残した——いつの日か、暗号化された.soを本当に消化しなければならなくなったら、その時に戻ってきてインストールすればよい。

真実の座標

• workbuddy2api-panel：45k行のGo／MIT／2,470スター／最近のプッシュは10-09。中危険五箇所（空キーの無認証・同源検査なし、原子書き込みのsymlink、0600のWindows空転、スケジューラーのタイムゾーン、設定の熱更新欠落）。亮點＝XSS防护と対外面の収束（テスト以外のコードはos/exec零、外部URLはテンセント四ドメインのみ）
• New API接続：OpenAI互換チャンネル、モデル名はcn:/global:前缀、prompt.modeはpassthroughを維持、アカウント当たりの処理中上限はCN 3/global 2、非空api_keyの設定と内網/HTTPSの後ろに置くことが必須
• 憑証機構：公式のOAuthデバイス認可フロー（アプリ逆解析ではない）。憑証取得と代理機構は二段に分かれる（OAuthログインで落盤→網関が代理発送）
• REA：npmrea-agents v6.3.0／55.4kスター／1,961コミット。覆盖は原生バイナリ、JS/Electron、.NET、APK、ファームウェア、EVM、ウェブ、HAR、プロセス挙動。証拠契約（evidence_id、unavailableの明示化、not_observedで推測せず）。DX-Ballは3,205用例、63関数をバイト级で再現
• 裁决：工具チェーンの升级としては当分折腾せず。伏線＝ソースなしの原生ライブラリの逆解析が必要な時に再インストール