El FORGE Lab de Microsoft usa herramientas de IA agéntica para hallar errores de memoria en Rust

El FORGE Lab de Microsoft Security publicó una investigación el 9 de noviembre de 2026 en la que describe cómo su sistema de escaneo de vulnerabilidades agéntico, con nombre clave Hyenas, encontró errores de seguridad de memoria antes desconocidos que se pueden activar desde código Rust 100% seguro en la biblioteca estándar. Los resultados se publicaron en el blog de Microsoft Security, con autoría de Yechan Bae y el equipo de FORGE Lab.

Qué encontró el equipo de FORGE Lab

• Hyenas, la herramienta de escaneo utilizada, es una instancia de investigación del sistema de escaneo agéntico multi-modelo con nombre clave MDASH.
• Todos los errores se activaron desde código Rust 100% seguro en las bibliotecas std y core, sin necesidad de código unsafe.
• El equipo identificó tres patrones recurrentes de confianza mal ubicada: confiar en que el código no entre en panic, confiar en implementaciones de trait proporcionadas por el usuario y confiar en el estado del sistema operativo.
• Entre los errores específicos: un problema de seguridad ante panic en MapWindows::clone (rust-lang/rust#156501), una llamada a str::replace con un Pattern personalizado que puede generar cadenas no válidas en UTF-8 (#156491), una vulnerabilidad de pila de señales en process::exit presente desde 2015 (#161018) y una condición de carrera de entorno en CommandExt::exec presente desde 2021 (#156951).
• Durante una auditoría de tres meses, FORGE Lab revisó kernels de código abierto, runtimes, bibliotecas de red, tecnología de contenedores y analizadores de medios, enviando 155 reportes de vulnerabilidades validados internamente en 23 proyectos.

Qué significa esto para quienes construyen con IA

La investigación es una demostración concreta y fechada de que las herramientas de IA agéntica pueden encontrar errores de seguridad de memoria reales y antes desconocidos en código Rust seguro ampliamente confiable, a nivel de biblioteca estándar. Esto importa para cualquiera que construya sobre Rust, incluido el runtime de GitHub Copilot, Android y el kernel de Linux, y sirve como una prueba del valor de la investigación de seguridad impulsada por IA.

Reportes y próximos pasos

Varios hallazgos se reportaron al sistema de seguimiento de incidencias de Rust, y dos permanecían abiertos en el momento de la publicación. Los resultados alimentarán el desarrollo de MDASH para Microsoft Defender y se conectan con Project Perception, un sistema de seguridad multiagente. FORGE Lab también señala que la Allocator API de Rust, que se estabiliza en Rust 1.100 el 12 de noviembre de 2026, exige que las implementaciones nunca hagan unwind en ciertos métodos de trait. Este trabajo se basa en la herramienta de análisis estático anterior de Microsoft, Rudra, de 2021, y en los hallazgos previos CVE-2020-36323 y CVE-2015-20001.

Fuentes

• FORGE Lab uses agentic tools to identify memory safety issues in Rust (Microsoft Security Blog, 9 de noviembre de 2026, oficial)

Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.