¿CON QUÉ IA?A quién le sirve. Analistas de seguridad, equipos de TI y aficionados técnicos que necesitan entender qué hace un programa sin tener su código, por ejemplo uno sospechoso, en un caso técnico y no de negocio.
Qué hicieron
Un complemento de Ghidra (un programa gratuito para analizar software ya compilado) arranca un servidor HTTP en el propio equipo, y un puente en Python lo expone a clientes MCP como Claude o Cursor. El agente descompila funciones, sigue los grafos de llamadas y las referencias cruzadas, y renombra, cambia tipos de datos y comenta en lotes. Una persona construye e instala el complemento y lo activa en CodeBrowser.
Cómo salió
El README ya enumera 253 herramientas, no 110. Afirma un 93 % menos de llamadas a la API gracias a agrupar peticiones y dice que se perfeccionó con cientos de funciones documentadas. No da ninguna medición de resultados.
Conviene saber
La carga perezosa de herramientas viene activada por defecto porque Gemini rechaza la lista completa. Los puntos de acceso que ejecutan scripts están desactivados salvo que definas GHIDRA_MCP_ALLOW_SCRIPTS, y el servidor no tiene autenticación en el equipo local.
Qué necesitas
- Ghidra, un programa gratuito para analizar software ya compilado
- El complemento ghidra-mcp, un servidor MCP de código abierto, con su puente en Python
- Un cliente MCP (un programa que habla con herramientas externas), como Claude o Cursor
- El programa que quieres analizar, mejor en un equipo o una máquina virtual aislados
- Conocimientos básicos de ingeniería inversa para revisar lo que concluya la IA
Cómo hacerlo tú, paso a paso
- Instala Ghidra y comprueba que abre el programa que quieres estudiar.
- Descarga el proyecto ghidra-mcp, construye el complemento, instálalo y actívalo en CodeBrowser (la ventana principal de análisis de Ghidra), siguiendo su documentación.
- Arranca el puente en Python y conéctalo a tu cliente MCP, como Claude o Cursor.
- Abre en Ghidra el programa a analizar, mejor una copia, y deja que termine su análisis inicial.
- Pega el prompt de la ficha: que identifique las funciones principales, las renombre según lo que hacen y enumere comportamientos sospechosos, como llamadas de red o escrituras de archivos.
- Lee el resumen y comprueba en Ghidra las funciones que respaldan cada conclusión.
- Si necesitas más detalle, pide que siga los grafos de llamadas y las referencias cruzadas de la función que te interese.
Conéctate al servidor MCP de Ghidra que tengo montado y abre el programa que está en [ruta del programa]. Identifica sus funciones principales, renómbralas según lo que hacen y enumera cualquier comportamiento sospechoso, como llamadas de red o escrituras de archivos. Habrás terminado cuando entregues un resumen escrito, corto, de lo que hace el programa y de las funciones que respaldan esa conclusión.
Consejos
- Analiza los programas sospechosos en una máquina virtual o un equipo aparte, por si acaso.
- El servidor local no tiene autenticación, así que no lo expongas a la red. Los puntos de acceso que ejecutan scripts vienen desactivados; no los actives si no los necesitas.
- Pide siempre que cada hallazgo cite las funciones que lo respaldan. Así puedes comprobarlo.
Preguntas frecuentes
¿Hace falta saber ingeniería inversa?
Ayuda mucho para comprobar lo que dice la IA. Sin experiencia, trata las conclusiones como pistas y valídalas con alguien de seguridad.
¿Para qué sirve en un negocio?
Para revisar un programa de terceros o un archivo sospechoso antes de instalarlo, o para entender software antiguo sin documentación.
¿Puede modificar el programa?
Por defecto trabaja dentro de Ghidra: renombra, cambia tipos de datos y comenta. Trabaja sobre una copia por si acaso.
Fuentes
bethington/ghidra-mcp en GitHub ↗
Hacker News ↗- Hacker News ↗
- La conversación en Hacker News, 4 de febrero de 2026 ↗
En el directorio desde el 3 de octubre de 2026.
@german-noob.win en Bluesky