La boîte à outils de la rétro-ingénierie fin 2026 : Ghidra 12, IDA 9.4, JEB 5.48 et la couche MCP par-dessus

Les outils ne se sont pas arrêtés pendant que les agents arrivaient. Ghidra 12 a remplacé son moteur Jython par PyGhidra, gagné l'interprétation abstraite et un émulateur symbolique, et 12.1 a ajouté la récupération des champs de bits, le nettoyage des appels Objective-C et debuginfod ; IDA 9.3 est sorti en février avec la décompilation Renesas V850 et l'interface Teams intégrée, puis 9.4 en juillet avec un flux refondu pour les dyld shared caches, un module Hexagon et le widget Pathfinder ; JEB 5.48 est arrivé le 7 octobre. Autour d'eux, un index communautaire recense 122 projets de rétro-ingénierie assistée par IA, dont 74 serveurs ou plugins MCP, et une revue de la rétro-ingénierie de firmware passe en revue 118 travaux de 2014 à 2026. Voici la carte de la boîte à outils, avec ce à quoi chaque pièce sert.

Ghidra 12 : ce qui a changé

Trois de ces changements comptent pour le travail assisté par IA. PyGhidra 3.0 signifie un environnement Python 3 que les serveurs MCP et REA pilotent sans pont Jython. L'interprétation abstraite LiSA et l'émulateur Z3 donnent au décompilateur les faits de plages de valeurs et de chemins qu'un LLM devine sinon. Et debuginfod signifie que lorsque des symboles existent sur un serveur public, Ghidra les récupère, ce qui supprime toute une classe de problèmes « le modèle a inventé un nom » avant même qu'on interroge le modèle.

Les moteurs, côte à côte

L'année d'IDA : 9.3 en février a ajouté le décompilateur pour la famille Renesas V850 (RH850, le contrôleur automobile) et intégré l'interface Teams dans l'IDA standard ; 9.4 en juillet a apporté le flux dyld shared cache pour les cibles Apple, un module Hexagon (QDSP6), un chargeur d'images de boot Qualcomm MBN et Pathfinder, un widget qui trouve les chemins d'appel entre deux fonctions. JEB reste la référence pour Android : bytecode Dalvik vers Java, et x86, ARM et RISC-V natifs vers C dans le même projet.

Ce qui entoure Ghidra aujourd'hui

Un agent, plusieurs cibles

Si REA compte, c'est pour sa couverture. Chaque moteur possède un type de cible ; une enquête d'aujourd'hui en traverse plusieurs : une application de bureau est un bundle Electron plus des add-ons natifs, un appareil est une image firmware plus une application mobile plus une API cloud.

L'écosystème en chiffres

Matériel et firmware : le moment des modèles locaux

La revue sur le firmware (Electronics 15(17):3830) est la première à couvrir ensemble la décompilation par LLM et l'analyse agentique de firmware, et décrit FirmAgent, qui associe le raisonnement d'un LLM au fuzzing de firmware. Côté matériel, l'atelier HARRIS 2026 sur la rétro-ingénierie physique des circuits intégrés a présenté un système de génération augmentée par recherche entièrement local pour l'analyse de netlists, avec une conclusion à citer dans tout laboratoire de sécurité doté d'une politique de données : les modèles à raisonnement battent les autres, et les modèles locaux ouverts atteignent la parité avec les meilleurs modèles commerciaux sur cette tâche. Une seconde intervention segmentait par apprentissage automatique les lignes de métal sur des images de puces.

Choisir une boîte à outils en octobre 2026

Pour une équipe qui démarre : Ghidra 12.1 comme moteur, parce qu'il est gratuit, scriptable en Python 3 et la cible de la plupart des travaux MCP ; IDA quand la couverture d'architectures (V850, Hexagon, caches dyld) ou le travail en équipe justifie la licence ; JEB pour Android ; REA par-dessus quand l'enquête traverse plusieurs cibles ; un modèle local quand les binaires ne peuvent pas sortir du bâtiment. Et quel que soit l'agent posé au sommet, lisez d'abord les deux billets précédents : les agents échouent à la compréhension, et les décompilateurs qui compilent ne sont pas ceux qui ont raison.