Microsoft opísal chyby v Rust knižniciach, pri ktorých pomohol Hyenas

Hyenas a chyby Rust knižníc sú predmetom nového výskumu Microsoft FORGE Lab, ktorý Microsoft zverejnil 9. novembra 2026. Výskumníci uvádzajú, že agentický nástroj Hyenas, výskumná verzia s kódovým označením MDASH, pomohol pri hľadaní niektorých chýb súvisiacich s typovou a pamäťovou bezpečnosťou v štandardných knižniciach Rustu. Ľudia ich následne analyzovali, reprodukovali, posúdili a nahlásili správcom Rustu.

Rust je navrhnutý tak, aby obmedzoval bežné chyby práce s pamäťou. Výskum však upozorňuje, že za určitých okolností môžu nesprávne implementácie interného kódu unsafe porušiť garancie, ktoré programátori očakávajú pri bezpečnom Rust kóde. Samotné nálezy neznamenajú, že každá aplikácia v Ruste je vzdialene zneužiteľná.

Hyenas a chyby Rust knižníc: tri opakujúce sa vzory

Microsoft vo výskume opisuje tri kategórie problematických predpokladov v základných knižniciach:

• správanie kódu v situácii, keď nastane panika,
• predpoklady o implementáciách traitov, ktoré dodáva používateľ,
• prácu s globálnym stavom operačného systému alebo C knižnice.

Hyenas podľa Microsoftu pomohol pri vyhľadávaní niektorých takýchto prípadov. Ľudskí výskumníci relevantné nálezy ďalej preverovali a nahlásili správcom projektu Rust.

Časť opráv je už v hlavnej vetve

Viaceré opísané problémy už získali opravy v hlavnej vetve vývoja Rustu. Chyba v MapWindows::clone bola uzavretá 2. júna 2026. Podľa príslušného hlásenia sa týkala nightly API.

Ďalšia zmena sa týka Utf8Pattern::StringPattern. Oprava, ktorá vyžaduje UTF-8, bola zlúčená 16. mája 2026.

Projekt Rust zároveň uzavrel problém s alternatívnym signalizačným zásobníkom, ktorý mohol vzniknúť pri volaní process::exit v podvlákne. Oprava bola zlúčená a issue uzavreté 14. augusta 2026. Microsoft pri tomto prípade uvádza, že praktické zneužitie na spustenie kódu bolo za skúmaných podmienok nepravdepodobné.

CommandExt::exec zostával otvorený

Pri overovaní stavu hlásení zostával otvorený problém v CommandExt::exec. Ide o zápis do globálneho ukazovateľa prostredia v situácii, keď kód drží iba zámok na čítanie. Issue je označené prioritou P-high a ako chyba nespoľahlivosti.

Rust Security Response Team podľa údajov pri issue tento prípad nepovažoval za dôvod na bezpečnostné oznámenie. Z dostupných podkladov tiež nevyplýva potvrdené aktívne zneužívanie niektorého z opísaných problémov v reálnych aplikáciách.

Čo majú sledovať vývojári

Pre tímy používajúce Rust je dôležité sledovať vydania a changelogy toolchainu, ktoré potvrdia, v ktorých stabilných verziách sú jednotlivé opravy dostupné. Z dostupných materiálov nie je nezávisle potvrdené, že všetky spomenuté zmeny už sú súčasťou konkrétnych stabilných vydaní.

Vývojári by mali sledovať aj stav issue #156951 pre CommandExt::exec, príslušný návrh opravy a prípadné spresnenia od Rust Security Response Teamu. Relevantné budú tiež nezávislé reprodukcie, ktoré ukážu rozsah dopadu v konkrétnych programoch.

Microsoft prezentuje výsledok ako praktický príklad využitia agentických nástrojov pri bezpečnostnom výskume. Zverejnené prípady zároveň ukazujú, že pri takýchto nálezoch zostáva podstatné odborné overenie, reprodukcia a oprava v upstream projekte.

Overené a aktualizované: 10. 11. 2026 06:24