[論文レビュー] Auditing Rust Crates Effectively

Lydia Zoghbi, David Thien+3 more|arXiv (Cornell University)|Feb 6, 2026

Software Testing and Debugging Techniques被引用数 0

ひとこと要約

論文はCargo Scanという対話式静的解析ツールを紹介し、Rustクレート内の潜在的に危険な副作用を特定することで文脈を考慮した監査を可能にし、手動審査の負担を軽減する。第三者Rustコードの監査における効率とエコシステムの拡張性を大幅に向上させることが示されている。

ABSTRACT

We introduce Cargo Scan, the first interactive program analysis tool designed to help developers audit third-party Rust code. Real systems written in Rust rely on thousands of transitive dependencies. These dependencies are as dangerous in Rust as they are in other languages (e.g., C or JavaScript) -- and auditing these dependencies today means manually inspecting every line of code. Unlike for most industrial languages, though, we can take advantage of Rust's type and module system to minimize the amount of code that developers need to inspect to the code that is potentially dangerous. Cargo Scan models such potentially dangerous code as effects and performs a side-effects analysis, tailored to Rust, to identify effects and track them across crate and module boundaries. In most cases (69.2%) developers can inspect flagged effects and decide whether the code is potentially dangerous locally. In some cases, however, the safety of an effect depends on the calling context -- how a function is called, potentially by a crate the developer imports later. Hence, Cargo Scan tracks context-dependent information using a call-graph, and collects audit results into composable and reusable audit files. In this paper, we describe our experience auditing Rust crates with Cargo Scan. In particular, we audit the popular client and server HTTP crate, hyper, and all of its dependencies; our experience shows that Cargo Scan can reduce the auditing burden of potentially dangerous code to a median of 0.2% of lines of code when compared to auditing whole crates. Looking at the Rust ecosystem more broadly, we find that Cargo Scan can automatically classify ~3.5K of the top 10K crates on crates.io as safe; of the crates that do require manual inspection, we find that most of the potentially dangerous side-effects are concentrated in roughly 3% of these crates.

研究の動機と目的

• 実運用システムにおける推移的依存関係のため、サードパーティRustクレートの監査の必要性を動機づける。
• 潜在的に危険なコードを識別するRust特化の副作用ベース静的解析を提案する。
• 呼び出しグラフ全体に文脈を伝播させる対話的監査ワークフローを提供する。
• 人気クレート上でCargo Scanを評価し、監査の効率とカバレッジを定量化する。
• Cargo Scanがクレートを自動的に安全と分類できるかどうか、文脈依存の安全性を特定できるかを示す。

提案手法

• 潜在的に危険な操作を副作用としてモデル化し、Rust向けに特化した静的解析を行い副作用を関数呼び出しへマッピングする。
• 呼び出しグラフを構築し、汚染様分析を用いて局所的または文脈依存的な安全性で副作用を注釈する。
• 3つの安全注釈（safe、unsafe、caller-checked）を提供し、caller-checked副作用を依存関係全体へ伝播させる。
• VSCode拡張として対話的監査インタフェースを実装し、効果と呼び出し箇所をナビゲートする。
• デフォルトで保守的な監査を生成し、すべての副作用をcaller-checkedとしてマークしてパッケージ間の監査範囲を制限する。
• トップクレート分析とhyperおよびその依存関係のケーススタディでパフォーマンスを評価する。

実験結果

リサーチクエスチョン

• RQ1 トップRustクレートのうち副作用を持つものはどの程度か？
• RQ2 文脈依存的（caller-checked）副作用は監査精度にとってどれほど価値があるか？
• RQ3 Cargo Scanは完全な手動審査と比べて監査担当者が確認するコード量を削減できるか？
• RQ4 副作用はクレート境界をどのように伝播し、公開APIはいくつ影響を受けるか？
• RQ5 デフォルト監査は依存関係全体の監査工数を十分に制限できるか？

主な発見

• トップクレートの約34.34%は純粋で、副作用の危険はない。
• 全副作用の約85%が約3%のクレートに集中している。
• hyperでは、関数の安全性の30.8%が文脈依存的で、パッケージ境界を跨ぐ関数安全性は5.2%である。
• Cargo Scanを用いた監査は、Cargo Scanなしのコード監査と比較して検討対象コード行数の中央値を0.2%へ削減した。
• hyperクレートと依存関係を監査する場合、デフォルト監査下でパッケージ全体の行数の平均13.1%、中央値0.4%が監査対象となり、跨パッケージ監査で労力が低減された。
• Cargo Scanはトップ10Kのクレートのうち約3.5千件を自動的に安全と分類できる。