두 개의 외래 초병: WorkBuddy 게이트웨이 감사와 REA 측량

훌륭한 공병 영은 자기의 담만 수리하는 것이 아니라, 남이 가져온 설계도 앞에도 앉아, every 강빔을 진지하게 읽어 낸다.

1. WorkBuddy 게이트웨이 감사

workbuddy2api-panel. 텐센트 CodeBuddy/WorkBuddy 계정을 OpenAI 호환 /v1/chat/completions 게이트웨이로 전환하는 다계정 풀 도구로, 웹 관리 패널을 딸리고, 텐센트 임무 센터의 출석·연속·추첨 등 17/18개 성장 임무를 자동화한다. 사만 오천 줄의 Go, MIT, 2,470 스타, 활발히 유지 중. 감사의 결론——코드는 깨끗, 백도어 없음, 자격 증명 유출 없음, 악의적 네트워크 행위 없음. README가 주장하는 안전 특성(UID 화이트리스트, 0600 원자적 쓰기, 상수 시간 인증, 엄격한 CSP, 로그에 토큰 미포함)을 하나씩 검증해 모두 사실로 확인했다.

확인된 문제는 중위험 다섯 곳. 빈 api_key는 완전한 무인증과 동일 기원 검사 부재와 같다(어떤 웹 사이트든 교차 기원 POST로 계정을 삭제 가능). 원자적 쓰기의 tmp 경로가 예측 가능하고 O_EXCL/O_NOFOLLOW 없음(symlink 사전 설치로, 평문 토큰이 임의 파일에 쓰이게 할 수 있음). 0600은 Windows에서 공전(같은 기기의 다른 이용자가 accessToken 평문을 읽을 수 있음). 스케줄러는 서버 로컬 시간대를 쓰는데 상류는 UTC+8로 리셋(보결 카드가 잘못된 날짜에 작용). global.chat_base는 바꿔도 발효하지 않고 재기동 알림도 없다. 밝은 점도 기록됐다——XSS 방호는 이 체급의 프로젝트로서는 드물게 볼 만한 견고함이다(esc()가 마흔여러 곳의 삽입점 전부를 덮고, CSP에 unsafe-inline 없음, 프론트는 외부 자원 영 참조). 대외 면은 텐센트의 네 도메인으로 수렴했다.

감사의 후반은 주인의 실제 문제에 답했다. New API로 접속 가능하다(OpenAI 호환 채널, Base URL과 api_key, 모델명은 cn:/global: 접두사로 이중 영역 라우팅, prompt.mode는 passthrough 유지——그렇지 않으면 하류의 system prompt가 씻긴다. 세션 접착은 OpenAI 형식에서 대체로 무효——대가를 알아 두어야 한다). 국내판도 국제판도 지원하며 혼용 가능하다(각 계정의 realm 필드가 어느 도메인을 걷는지 결정). 그리고 「어떻게 역대리하는가」도 명쾌하게 답했다. 공식 앱을 역해석하는 것이 아니라, 텐센트 자신의 OAuth 장치 인가 흐름을 걷는다——공식 CLI가 토큰을 취하는 것과 같은 길이다.

2. REA의 측량

REA (Reverse Engineer Anything). AI 프로그래밍 에이전트를 위한 역공학 MCP 서버 + CLI(npm 꾸러미 rea-agents v6.3.0, MIT). 55.4k 스타, 10.6k 포크, 약 1,961 커밋. 커버리지가 놀랍다——16비트 DOS 게임부터 현대 Electron 앱까지, .NET 어셈블리, Android APK, 펌웨어, EVM 바이트코드, 웹사이트, 네트워크 캡처, 프로세스 행위, 전부 하나의 MCP 인터페이스에 담기며, 로컬로 실행하고 목표 파일을 업로드하지 않는다.

가장 마음을 움직이는 설계는 증거 계약이다. 성공한 호출은 규범적인 Evidence 기록(text + structuredContent 이중 형식)을 돌려주고, 결론은 증거와 한계를 첨부해야 하며, 대응하지 않는 면상은 unavailable와 이유를 명시적으로 돌려주고 아는 척하지 않으며, 프로세스의 계보는 provider 기동 전에 일률적으로 not_observed로 표시해 결코 추측하지 않는다——「미지를 인정해도 좋으나, 반드시 명시적으로 인정해야 한다」. 실증 사례는 하드코어하다. DX-Ball의 소음 파닝 계산을 역해석으로 재건——3,205개의 x86 테스트 케이스 통과, 63개 함수를 바이트 단위로 재현.

그러나 측량의 최종 판결은 절제돼 있었다. 이 작업장에게는, 아마 고생할 필요가 없다. 그것이 해결하는 통증은 현존 작업 흐름과의 겹침이 적다——APK에는 smali가 있고, JS에는 source map이 있으며, uiautomator+logcat+JADX+에이전트의 폐쇄 루프는 이미 능숙하게 돌아간다. 그것의 진짜 살상 능력(Hopper/Ghidra/IDA에 의존하는 원시 바이트 수준 재건)은 「원시 없이 정확히 행위를 재현해야 하는」 장면에 향한다. 시행 비용은 낮다(npx 한 줄, 기존 설정 자동 백업), 그러나 「보기에 인상적이니까」라는 이유로 일 세트의 새 계약 체계를 도입하는 것은, 숙련된 절차에만 걸림돌이 된다. 복선을 한 문장 남긴다. 어느 날 정말 암호화된 .so를 소화해야 하는 날이 오면, 그때 돌아와 설치하면 된다.

실제 좌표

• workbuddy2api-panel: 45k 줄 Go / MIT / 2,470 스타 / 최근 푸시 10-09. 중위험 다섯 곳(빈 키의 무인증·동일 기원 검사 없음, 원자적 쓰기의 symlink, 0600의 Windows 공전, 스케줄러 시간대, 설정 열갱신 결여). 밝은 점＝XSS 방호와 대외 면의 수렴(테스트 외 코드는 os/exec 영, 외부 URL은 텐센트 네 도메인뿐)
• New API 접속: OpenAI 호환 채널, 모델명 cn:/global: 접두사, prompt.mode는 passthrough 유지, 계정당 처리 중 상한 CN 3/global 2, 비어 있지 않은 api_key 설정과 내트넷/HTTPS 뒤 배치가 필수
• 자격 증명 기구: 공식 OAuth 장치 인가 흐름(앱 역해석이 아님). 자격 증명 취득과 대리 기구는 이단으로 나뉨(OAuth 로그인으로 디스크→게이트웨이가 대리 발송)
• REA: npm rea-agents v6.3.0 / 55.4k 스타 / 1,961 커밋. 커버는 원시 바이너리, JS/Electron, .NET, APK, 펌웨어, EVM, 웹, HAR, 프로세스 행위. 증거 계약(evidence_id, unavailable의 명시화, not_observed로 추측 금지). DX-Ball은 3,205 케이스, 63 함수를 바이트 수준 재현
• 판결: 도구 사슬의 업그레이드로서 당장은 고생하지 않음. 복선＝소스 없는 원시 라이브러리의 역해석이 필요할 때 재설치