[논문 리뷰] Auditing Rust Crates Effectively

Lydia Zoghbi, David Thien외 3명|arXiv (Cornell University)|2026. 02. 06.

Software Testing and Debugging Techniques인용 수 0

한 줄 요약

이 논문은 Cargo Scan을 소개합니다. Rust 크레이트에서 잠재적으로 위험한 효과를 식별하는 대화형 정적 분석 도구로, 맥락 인식 감사(context-aware audits)를 가능하게 하고 수동 검토 노력을 줄입니다. 제3자 Rust 코드의 감사에 대해 상당한 효율성 향상과 확장 가능한 생태계 커버리지를 보여줍니다.

ABSTRACT

We introduce Cargo Scan, the first interactive program analysis tool designed to help developers audit third-party Rust code. Real systems written in Rust rely on thousands of transitive dependencies. These dependencies are as dangerous in Rust as they are in other languages (e.g., C or JavaScript) -- and auditing these dependencies today means manually inspecting every line of code. Unlike for most industrial languages, though, we can take advantage of Rust's type and module system to minimize the amount of code that developers need to inspect to the code that is potentially dangerous. Cargo Scan models such potentially dangerous code as effects and performs a side-effects analysis, tailored to Rust, to identify effects and track them across crate and module boundaries. In most cases (69.2%) developers can inspect flagged effects and decide whether the code is potentially dangerous locally. In some cases, however, the safety of an effect depends on the calling context -- how a function is called, potentially by a crate the developer imports later. Hence, Cargo Scan tracks context-dependent information using a call-graph, and collects audit results into composable and reusable audit files. In this paper, we describe our experience auditing Rust crates with Cargo Scan. In particular, we audit the popular client and server HTTP crate, hyper, and all of its dependencies; our experience shows that Cargo Scan can reduce the auditing burden of potentially dangerous code to a median of 0.2% of lines of code when compared to auditing whole crates. Looking at the Rust ecosystem more broadly, we find that Cargo Scan can automatically classify ~3.5K of the top 10K crates on crates.io as safe; of the crates that do require manual inspection, we find that most of the potentially dangerous side-effects are concentrated in roughly 3% of these crates.

연구 동기 및 목표

• 실제 시스템에서 전이 의존성으로 인해 제3자 Rust 크레이트를 감사해야 할 필요성을 동기화합니다.
• 위험한 코드 식별을 위한 Rust 전용 효과 기반 정적 분석을 제안합니다.
• 호출 그래프를 가로지르는 맥락을 전파하는 대화형 감사 워크플로를 제공합니다.
• 인기 있는 크레이트에서 Cargo Scan을 평가하고 감사 효율성과 범위를 정량화합니다.
• Cargo Scan이 자동으로 크레이트를 안전하다고 분류하고 맥락 의존 안전성을 식별할 수 있는지 보여줍니다.

제안 방법

• 잠재적으로 위험한 연산을 효과로 모델링하고 효과를 함수 호출에 매핑하기 위한 Rust에 특화된 정적 분석을 수행합니다.
• 오염 분석과 유사한 분석을 사용하여 지역적 또는 맥락 의존적 안전성으로 효과를 주석 달고 호출 그래프를 구축합니다.
• 세 가지 안전 주석(안전, 위험, 호출자 확인)을 제공하고 호출자 확인 효과를 의존성 전반에 전파합니다.
• 효과 및 호출 위치를 탐색하기 위한 VSCode 확장으로 대화형 감사 인터페이스를 구현합니다.
• 모든 효과를 호출자 확인으로 표시하는 기본적이고 보수적인 감사를 생성하여 패키지 간 감사를 한정합니다.
• 상위 크레이트 분석에서 성능을 평가하고 hyper 및 그 의존성에 대한 사례 연구를 수행합니다.

실험 결과

연구 질문

• RQ1 상위 Rust 크레이트 중 어느 비율이 어떠한 부작용을 포함하고 있나요?
• RQ2 맥락에 민감한(호출자 확인된) 효과가 감사 정확도에 얼마나 가치가 있나요?
• RQ3 전체 수동 감사를 비교하여 Cargo Scan이 감사자가 검토해야 할 코드 양을 줄일 수 있나요?
• RQ4 효과가 크레이트 경계를 넘어 어떻게 전파되며 영향받는 공개 API가 얼마나 되나요?
• RQ5 기본 감사가 의존성 전반의 감사 노력을 충분히 한정할 수 있나요?

주요 결과

• 상위 크레이트의 약 34.34%가 순수합니다(위험한 부작용 없음).
• 모든 효과의 약 85%가 대략 3%의 크레이트에 집중되어 있습니다.
• Hyper에 대해 함수 안전성의 30.8%가 맥락에 민감하고 패키지 경계 전체에서 함수 안전성의 5.2%가 맥락에 민감합니다.
• Cargo Scan으로 감사하면 수동으로 비교했을 때 검토된 코드의 중앙값이 라인 수의 0.2%로 감소합니다.
• Hyper 크레이트와 의존성을 감사할 때 기본 감사하에서 패키지 간 라인을 평균 13.1%, 중앙값 0.4% 검토했고 교차 패키지 감사에서 노력이 감소함.
• Cargo Scan은 상위 10K 크레이트 중 대략 3.5천개를 안전한 것으로 자동 분류할 수 있습니다.