Rust en la ciberseguridad: las herramientas de quien defiende

En seguridad, la pregunta no es si Rust es moderno, sino si reduce el riesgo. Hay datos para responderla, y vienen de quienes más ataques reciben: Google, Cloudflare, AWS y los navegadores.

El dato más sólido: Android

Google lleva años escribiendo en Rust el código nuevo de Android, sin reescribir el antiguo. El resultado:

Según Google, con unos 5 millones de líneas de Rust en Android encontraron una sola vulnerabilidad de memoria potencial. Su estimación es de 0,2 vulnerabilidades por millón de líneas en Rust, frente a cerca de 1000 en su historial de C y C++.

Y no es solo seguridad. Los cambios en Rust se revierten unas 4 veces menos y pasan un 25 % menos de tiempo en revisión.

La infraestructura que ya corre en Rust

Cloudflare: seguro y más barato

Cloudflare reemplazó su proxy en C por Pingora, escrito en Rust. Eligieron Rust porque «puede hacer lo que hace C, de forma segura en memoria y sin sacrificar rendimiento».

Es el argumento que convence a un director financiero: la seguridad llegó con un 70 % menos de CPU.

Chrome: donde atacan de verdad

Leer una fuente tipográfica parece inofensivo, pero es procesar datos que vienen de cualquier sitio web. En 2020, un fallo en FreeType se explotó activamente. Chrome lo reemplazó por Skrifa, en Rust, primero para fuentes web y luego para las del sistema.

Microsoft: criptografía verificada

Microsoft empezó a reescribir en Rust partes de SymCrypt, su librería criptográfica, con verificación formal. Por ahora es una rama de vista previa: la librería principal sigue en C. Lo contamos con más detalle en Microsoft y Rust.

Herramientas para quien defiende

Rust también llegó a las herramientas del día a día de los equipos de seguridad:

• YARA-X, de VirusTotal, reescribe en Rust YARA, el estándar para escribir reglas que identifican malware.
• Suricata, el sistema de detección de intrusos, ya necesita Rust para compilarse: parte de su análisis de protocolos está escrito en ese lenguaje.
• cargo-audit revisa tus dependencias contra la base de avisos de seguridad de Rust.
• cargo-vet, de Mozilla, verifica que alguien de confianza haya auditado cada dependencia.

Los gobiernos ya lo piden

En 2023, las agencias de seguridad de Estados Unidos, Reino Unido, Canadá, Australia y Nueva Zelanda pidieron a los fabricantes publicar hojas de ruta hacia lenguajes seguros en memoria. En 2025, la CISA y el FBI fueron más lejos: consideran una mala práctica iniciar productos nuevos para infraestructura crítica en C o C++, y pidieron esas hojas de ruta para fines de 2025.

Para Latinoamérica, donde las leyes de ciberseguridad avanzan, es una señal de hacia dónde irán los requisitos.

Lo que Rust no resuelve

• Dependencias maliciosas. En 2025, crates.io eliminó dos paquetes falsos que imitaban una librería de registro y robaban claves de criptomonedas. Sumaban más de 8000 descargas. Rust no impide que instales código malicioso.
• Errores de lógica. Un programa seguro en memoria puede validar mal una firma o un permiso.
• El uso malicioso. Los atacantes también escriben malware en Rust.

La conclusión práctica: Rust elimina una clase entera de fallos, la más común. Sobre esa base, siguen haciendo falta auditoría de dependencias, pruebas y revisión de diseño.