FORGE Lab da Microsoft usa ferramentas de IA agêntica para achar falhas de memória no Rust

O FORGE Lab da Microsoft Security publicou uma pesquisa em 9 de novembro de 2026 descrevendo como seu sistema agêntico de varredura de vulnerabilidades, codinome Hyenas, encontrou falhas de segurança de memória antes desconhecidas que podem ser acionadas a partir de código Rust 100% seguro na biblioteca padrão. Os resultados foram publicados no blog da Microsoft Security, com autoria de Yechan Bae e da equipe do FORGE Lab.

O que o FORGE Lab encontrou

• O Hyenas, a ferramenta de varredura usada, é uma instância de pesquisa do sistema agêntico multimodelo com codinome MDASH.
• Todas as falhas foram acionadas a partir de código Rust 100% seguro nas bibliotecas std e core, sem necessidade de código unsafe.
• A equipe identificou três padrões recorrentes de confiança mal colocada: confiar que o código não entrará em panic, confiar em implementações de trait fornecidas pelo usuário e confiar no estado do sistema operacional.
• Entre as falhas específicas estão um problema de segurança de panic em MapWindows::clone (rust-lang/rust#156501), uma chamada str::replace com um Pattern personalizado que pode gerar strings inválidas em UTF-8 (#156491), uma vulnerabilidade de pilha de sinais em process::exit presente desde 2015 (#161018) e uma condição de corrida de ambiente em CommandExt::exec presente desde 2021 (#156951).
• Durante uma auditoria de três meses, o FORGE Lab revisou kernels de código aberto, runtimes, bibliotecas de rede, tecnologia de containers e analisadores de mídia, enviando 155 relatórios de vulnerabilidades validados internamente em 23 projetos.

O que isso significa para quem constrói com IA

A pesquisa é uma demonstração concreta e datada de que ferramentas de IA agêntica podem encontrar falhas de segurança de memória reais e antes desconhecidas em código Rust seguro amplamente confiável, no nível da biblioteca padrão. Isso importa para qualquer pessoa que constrói sobre Rust, incluindo o runtime do GitHub Copilot, o Android e o kernel do Linux, e serve como prova do valor da pesquisa de segurança conduzida por IA.

Relatos e próximos passos

Várias descobertas foram reportadas ao sistema de rastreamento de issues do Rust, e duas permaneciam abertas no momento da publicação. Os resultados vão alimentar o desenvolvimento do MDASH para o Microsoft Defender e se conectam ao Project Perception, um sistema de segurança multiagente. O FORGE Lab também observa que a Allocator API do Rust, que se estabiliza na versão Rust 1.100 em 12 de novembro de 2026, exige que as implementações nunca façam unwind em certos métodos de trait. O trabalho se baseia na ferramenta anterior de análise estática da Microsoft, a Rudra, de 2021, e em descobertas anteriores, CVE-2020-36323 e CVE-2015-20001.

Fontes

• FORGE Lab uses agentic tools to identify memory safety issues in Rust (Microsoft Security Blog, 9 de novembro de 2026, oficial)

Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.