用途：对可疑二进制执行快速逆向分诊，分两级推进。Level 1（≤30 分钟）做字符串侦察，提取 URL、IP、IOC、文件路径与加密特征；Level 2（1-2 小时）用 Ghidra/radare2 反汇编、映射控制流并反编译为 C，Level 1 后会经决策门判断是否升级。
主要能力：计算 SHA256 并查 memory-mcp 缓存避免重复分析；自适应最小长度提取可打印字符串并分类 IOC；识别架构、自动分析函数与 CFG、生成调用图；对反编译代码做 connascence 质量分析；支持批量分析与跨样本 IOC 检索。
使用方式：/re:quick malware.exe 走完整流程；/re:quick suspicious.bin --level 1 仅字符串分析；/re:quick crackme.exe --level 2 --output ./analysis/ 仅静态分析。Level 1 后可选 skip、continue 或 auto。依赖 strings、file、sha256sum、xxd，Level 2 需 Ghidra 或无头分析、radare2、graphviz。
适用场景：恶意样本分析、安全研究逆向、漏洞评估、供应链安全验证、CTF 与二进制漏洞研究。
限制：禁止对无合法授权的商业软件逆向、禁止在生产系统分析二进制、禁止违反 EULA。任何未知二进制绝不可在主机执行，必须在隔离 VM、受限容器或专用恶意软件环境中进行，并先做快照、监控网络、默认假定样本恶意。分析可能受反调试、加壳、多阶段加密载荷、内核 rootkit、符号执行路径爆炸等影响；分析时长可能超时。反编译质量受混淆与编译器影响，需先检测与脱壳。资料未提供收费、平台或效果声明。