FORGE Lab Microsoftu wykorzystuje agentowe AI do wykrywania błędów pamięci w Rust

Laboratorium FORGE Lab w ramach Microsoft Security opublikowało 9 listopada 2026 roku badanie opisujące, jak jego agentowy system skanowania podatności o nazwie kodowej Hyenas znalazł wcześniej nieznane błędy bezpieczeństwa pamięci, które można wywołać za pomocą w 100% bezpiecznego kodu Rust w standardowej bibliotece języka. Wyniki opublikowano na blogu Microsoft Security, a autorami są Yechan Bae i zespół FORGE Lab.

Co odkrył zespół FORGE Lab

• Hyenas, użyte narzędzie skanujące, jest badawczą instancją wielomodelowego, agentowego systemu skanowania o nazwie kodowej MDASH.
• Każdy błąd został wywołany przez w 100% bezpieczny kod Rust w bibliotekach std i core, bez potrzeby użycia kodu unsafe.
• Zespół zidentyfikował trzy powtarzające się wzorce błędnego zaufania: zaufanie, że kod nie wywoła panic, zaufanie do implementacji trait dostarczonych przez użytkownika oraz zaufanie do stanu systemu operacyjnego.
• Konkretne błędy obejmują problem z bezpieczeństwem panic w MapWindows::clone (rust-lang/rust#156501), wywołanie str::replace z własnym Pattern, które może tworzyć ciągi niebędące prawidłowym UTF-8 (#156491), podatność sygnałową w process::exit obecną od 2015 roku (#161018) oraz wyścig środowiskowy w CommandExt::exec obecny od 2021 roku (#156951).
• W trakcie trzymiesięcznego audytu zespół FORGE Lab przeanalizował otwartoźrodłowe jądra systemów, środowiska uruchomieniowe, biblioteki sieciowe, technologie kontenerowe i parsery mediów, zgłaszając 155 wewnętrznie zweryfikowanych raportów o podatnościach w 23 projektach.

Co to oznacza dla osób budujących z AI

To badanie jest konkretnym, datowanym dowodem na to, że agentowe narzędzia AI mogą znajdować realne, wcześniej nieznane błędy bezpieczeństwa pamięci w powszechnie zaufanym, bezpiecznym kodzie Rust na poziomie biblioteki standardowej. Ma to znaczenie dla każdego, kto buduje na Rust, w tym dla środowiska wykonawczego GitHub Copilot, Androida i jądra Linuksa, a także stanowi dowód na wartość badań bezpieczeństwa prowadzonych z pomocą AI.

Zgłoszenia i kolejne kroki

Wiele ustaleń zgłoszono do systemu śledzenia zgłoszeń projektu Rust, a dwa z nich pozostawały otwarte w momencie publikacji. Wyniki posłużą do rozwoju MDASH na potrzeby Microsoft Defender i są powiązane z Project Perception, wieloagentowym systemem bezpieczeństwa. FORGE Lab zauważa też, że Allocator API w Rust, które stabilizuje się w wersji Rust 1.100 dnia 12 listopada 2026 roku, wymaga od implementacji, by nigdy nie wywoływały unwind w określonych metodach trait. Praca ta bazuje na wcześniejszym narzędziu do analizy statycznej Microsoftu, Rudra, z 2021 roku, oraz na wcześniejszych odkryciach CVE-2020-36323 i CVE-2015-20001.

Źródła

• FORGE Lab uses agentic tools to identify memory safety issues in Rust (Microsoft Security Blog, 9 listopada 2026, oficjalne)

Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.