Craft Anything:纯Rust逆向引擎带320个工具,AI代理一句话复刻网站和游戏

导语:建仓才两周的Craft Anything已经冲到近3万星。它用纯Rust重写逆向引擎,把反汇编、反编译、调用图打包成320个工具,再让AI代理照着证据把网站和游戏复刻一遍,各平台安装包直接可下。

(推文原图,图源:X 平台 @KitPloit)

建仓两周,近3万星

Craft Anything 是近期 GitHub 上蹿得最快的那一类项目:仓库 2026 年 10 月 31 日才建,到 11 月 12 日已经攒下 29,778 星、6,056 个 fork、350 个未关闭 issue。语言 Rust,许可证 Apache-2.0,官方把它归进 ArtCraft 这个创作者工具家族,官网在 getartcraft.com。安全工具账号 @KitPloit 昨天转推的时候只用了一个词——”Updated”。

引擎对外只露一个数字:320 个工具。README 拆得更细,300 个在引擎本体里,其余来自 AI 与安装层。每一个工具同时是一个 CLI 子命令和一个 MCP 工具,这点很关键,后面再说。

它到底能拆什么

覆盖范围写得相当老实:原生程序、.NET、Java、Android、Apple、Electron/JavaScript、网站、固件、抓包、数据库和游戏文件。解码器、反汇编器、反编译器全是自己写的,不依赖外部程序;Deep 模式下如果本机装了 Ghidra,也会顺手用上。同一套引擎同时供桌面端(egui)、CLI 和 MCP server 使用,部分甚至编译成 WebAssembly 直接在浏览器里跑。

(高级工作台截图,图源:Craft Anything 官方 GitHub 仓库)

高级工作台长这样:左边是函数列表,中间是伪 C 和十六进制,右边是”证据账本”,每条结论都带着置信度、覆盖度和局限说明。README 反复强调一句——不是 AI 在猜,是工具在测。

四步流水线,和两种立场

流程是 Study 研究、Build 构建、Check 校验、Ready 交付。校验环节会在三种屏幕宽度下对比页面、跑游戏自测、跑 App,把还不太像的地方列成清单给你看。

(网站复刻校验界面,图源:Craft Anything 官方 GitHub 仓库)

最有意思的是 Clean room 和 Deep 两种模式的分野。Clean room 是默认模式,不读原体里的代码、文件和页面源码,只靠你喂给它的截图、访客视角量到的排版、颜色字体和间距;想看内部,工具会直接拒绝并告诉你怎么开 Deep。Deep 模式则把全部工具放出来,连 Ghidra 一起上。README 说得很直白:Clean room 是”产品提供什么、拒绝什么”的规则,不是操作系统级沙箱,不会隔离你的电脑。

(游戏复刻完成界面,图源:Craft Anything 官方 GitHub 仓库)

AI 是来干活的,不是来表演的

Claude Code 优先支持,工具跑的是你本机那份没被改过的 claude 程序,用的是你自己的登录,工具本身不碰你的账号。Codex 适配器存在但还没在真实安装上验证过;GitHub Copilot 走 ACP 通道(copilot login 单独登录),Grok Build 能接本机的 grok 程序,gemini-cli、qwen-code、opencode、goose 这些能说 ACP 的同样可以挂上去。

命令行这边同样完整:craft-anything-cli commands 列出全部工具,craft-anything-cli mcp 把引擎挂给任意 MCP 客户端,craft-anything-cli rebuild https://example.com "Recreate this website" 直接跑完整复刻。源码自己编译需要 Rust 1.97 以上。

紫队复盘:攻防两端都得重算账

红队这波拿到的是一条流水线。以前拆一个 App、写一份 PoC 是纯手工活,现在研究、建模、验证能交给同一个引擎加代理串起来跑,迭代速度完全不是一回事。蓝队这边要意识到,界面、交互、游戏玩法这些过去算”软资产”的东西,被复刻的成本正在肉眼可见地下降——所以品牌素材、版权文本、付费墙这些靠界面表达的东西,该上技术护栏就得上技术护栏,别指望”别人想不到”。

更直接的提醒其实在工具自己身上。它把 AI 代理接到了命令行,而”安装依赖”这一步会真的在你机器上执行代码:npm 默认跑 install scripts,cargo 的 build script、Python 包的 setup 同样会跑。工具会就陌生命令弹审批卡,但你一旦点了”始终允许”,后面一路绿灯。资产侧也得留审计——谁在什么时候对哪个目标跑过深度分析,这条链路本身就是新的检测面。

下载地址

全部版本在 Releases 页面,源码 git clone https://github.com/storytold/craft-anything,官网 getartcraft.com。

用之前必须知道的三件事

一是状态,README 自己挂着 early alpha 的标签。桌面端、CLI、MCP server 是”现在能用”,但”用 API key 和其他 coding agent 来构建”这条写的是已实现、未在真实环境跑过。二是授权边界,官方明确写了它不绕过 DRM、登录和反作弊,只在你拥有或被允许分析的软件上使用;复刻出来的作品默认不复制 logo、照片和文字。三是安装依赖等于执行代码,想干净就跑 npm install --ignore-scripts。

从 10 月 31 日建仓到 11 月 12 日发 v0.6.1,中间还夹着 v0.5.0 和 v0.6.0,节奏快得像在赶工期。紫队该关心的不是”AI 会不会自己去黑系统”,而是:当自己家的产品被这样一台引擎盯上的时候,手里那张护栏牌还剩几张。

版权声明:本文由华盟网原创发布,保留所有权利。配图来自 X 平台及 Craft Anything 官方开源仓库(Apache-2.0),经授权使用。