Seguridad supply chain en Rust: riesgos y mitigaciones

El ecosistema Rust ante una amenaza creciente

Si construyes productos con Rust, probablemente lo elegiste por su seguridad de memoria y su rendimiento. Pero hay una superficie de ataque que muchos equipos ignoran hasta que es demasiado tarde: la cadena de suministro de software. Un único paquete malicioso en tu árbol de dependencias puede comprometer toda tu infraestructura, robar credenciales o escalar privilegios en los entornos de tus desarrolladores.

Este no es un escenario hipotético. En 2024 se publicaron más de 500 paquetes maliciosos en crates.io en una sola campaña de typosquatting. Y según un análisis reciente de 196.923 crates, el 32,5% falla las verificaciones estándar de cargo-deny —y ese porcentaje sube al 20% entre los crates activamente usados.

¿Por qué crates.io es un vector de ataque atractivo?

La centralización del ecosistema Rust en crates.io es su mayor fortaleza y, al mismo tiempo, su mayor debilidad. Cualquier persona puede publicar un paquete, los nombres similares a librerías populares están disponibles, y el proceso de compilación de Cargo ejecuta código de dependencias de forma automática —incluyendo macros procedurales y archivos build.rs.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Vectores de ataque principales

Typosquatting: Publicar crates con nombres casi idénticos a los populares. El caso más documentado es rustdecimal vs rust_decimal (2022), que ejecutaba un binario malicioso al llamar a Decimal::new.
Macros procedurales maliciosos: Los proc-macros se ejecutan en tiempo de compilación con acceso completo al sistema. Un macro comprometido puede leer archivos, exfiltrar datos o modificar otros crates en el entorno local.
Archivos build.rs comprometidos: Estos scripts de compilación también se ejecutan con privilegios del usuario. Un build.rs malicioso puede acceder a ~/.cargo/credentials, que se almacena en texto plano sin 2FA por defecto, y publicar crates infectados de forma automática.
Compromiso de mantenedores: Un atacante puede hacer phishing a los maintainers de crates populares, tomar control de sus cuentas y publicar versiones maliciosas que se distribuyen a miles de proyectos en horas.

La escala del problema: datos que no puedes ignorar

El riesgo no es teórico. Trail of Bits documentó en septiembre de 2025 cómo los ataques a cadenas de suministro explotan supuestos de confianza que damos por sentados. El ataque a SolarWinds en 2020 comprometió entornos de build para insertar malware; el ecosistema npm sufrió un incidente de alto impacto en 2025; y PyPI vio 900 typosquats de 40 paquetes populares en 2023.

Lo que separa a Rust de npm no es una arquitectura inherentemente más segura: es, en parte, suerte y escala. A medida que Rust crece en adopción empresarial, el incentivo para atacar su ecosistema también crece. La pregunta no es si habrá un ataque masivo a crates.io, sino cuándo.

La comparación que duele: Go tiene lo que Rust no

El lenguaje Go implementó hace años sum.golang.org, una base de datos centralizada y firmada de checksums que verifica la integridad de cada módulo descargado. Si alguien altera un paquete después de su publicación, el sistema lo detecta y rechaza la descarga.

Rust/Cargo no tiene un equivalente. El archivo Cargo.lock guarda hashes locales, pero si las credenciales de un mantenedor son comprometidas antes de que actualices tu lockfile, la puerta queda abierta. La comunidad Rust lleva años discutiendo adoptar un mecanismo similar, pero a la fecha de publicación de este artículo, no existe una solución oficial consolidada.

Estrategias de mitigación concretas para tu equipo

La buena noticia: puedes reducir significativamente tu superficie de ataque hoy, sin esperar a que el ecosistema madure. Aquí van las medidas más efectivas ordenadas por impacto:

1. Reduce el número de dependencias

Un programa simple en Rust puede traer más de 50 crates transitivos. Cada dependencia es un vector potencial. Evalúa si puedes reemplazar crates por funcionalidad de la biblioteca estándar o por implementaciones propias para los módulos más críticos.

2. Usa cargo-deny y cargo-audit en tu CI/CD

cargo-deny es una herramienta que bloquea dependencias con vulnerabilidades conocidas, licencias no permitidas o configuraciones inseguras. cargo-audit verifica contra la base de datos de seguridad RustSec. Integrar ambas en tu pipeline de CI es una de las inversiones de menor costo y mayor retorno en seguridad.

3. Implementa cargo-vet para revisiones compartidas

cargo-vet, desarrollado originalmente por Mozilla, requiere que cada dependencia sea aprobada explícitamente por al menos un revisor de confianza antes de entrar al proyecto. Puedes compartir bases de datos de revisiones entre equipos y organizaciones, lo que reduce la carga de auditoría sin sacrificar rigor.

4. Adopta Dev Containers para aislar el entorno de build

Ejecutar tu proceso de compilación dentro de contenedores de desarrollo limita el daño que un build.rs o macro malicioso puede causar. El código comprometido no tendrá acceso a tus credenciales del sistema operativo, llaves SSH ni configuraciones locales fuera del contenedor.

5. Comitea y protege tu Cargo.lock

El archivo Cargo.lock fija las versiones exactas de todas las dependencias. Siempre comitéalo en tu repositorio, incluso para librerías. Habilita verificaciones que detecten cambios inesperados en el lockfile en tus pull requests.

6. Asegura las credenciales con Trusted Publishing

crates.io ha introducido soporte para Trusted Publishing, un mecanismo que emite tokens de vida corta desde GitHub Actions en lugar de credenciales de larga duración almacenadas localmente. Si publicas crates, migra a este modelo cuanto antes.

7. Detecta typosquats con herramientas especializadas

La Rust Foundation ha desarrollado Typomania, una herramienta que detecta y bloquea paquetes con nombres sospechosamente similares a los populares. Úsala en revisiones de código y auditorías periódicas de tu Cargo.toml.

Herramientas esenciales para el ecosistema Rust

Herramienta	Función principal	Integración recomendada
cargo-deny	Política de dependencias	CI/CD obligatorio
cargo-audit	Vulnerabilidades conocidas (RustSec)	CI/CD obligatorio
cargo-vet	Aprobación de dependencias por revisores	Equipos medianos y grandes
Typomania	Detección de typosquats	Auditorías periódicas
Trusted Publishing	Tokens de vida corta para publicación	Todos los publishers en crates.io

El rol del founder: no delegues la seguridad completamente

Como founder tech, tu responsabilidad no es convertirte en experto de seguridad, sino crear los procesos y la cultura para que tu equipo no dependa de la buena voluntad del ecosistema. Eso significa:

Incluir revisiones de dependencias en tus criterios de Definition of Done.
Asignar tiempo en cada sprint para actualizar y auditar el árbol de dependencias.
Tratar los crates de terceros como código no confiable hasta que se demuestre lo contrario.
Documentar qué herramientas de seguridad están activas y por qué en tu README o wiki interna.

El ecosistema LATAM de startups tech está adoptando Rust a un ritmo acelerado, especialmente en fintech, infraestructura y herramientas de IA. Cada equipo que implementa estas prácticas hoy reduce el riesgo colectivo del ecosistema y construye una base de confianza para escalar.

Conclusión

El ecosistema Rust es significativamente más robusto que muchos lenguajes en términos de seguridad de memoria, pero su cadena de suministro tiene vulnerabilidades reales y crecientes. La centralización en crates.io, la ausencia de una base de datos de checksums como la de Go, y el poder de ejecución de build.rs y macros procedurales crean una superficie de ataque que los actores maliciosos ya están explorando.

La respuesta no es abandonar Rust, sino adoptarlo con madurez: menos dependencias, más auditorías, herramientas como cargo-deny, cargo-vet y Trusted Publishing, y entornos de build aislados. Los equipos que construyan estos hábitos hoy estarán mejor posicionados cuando —no si— llegue el ataque masivo al ecosistema.

Descubre cómo otros founders implementan seguridad en sus stacks técnicos y comparte tus aprendizajes con la comunidad de Ecosistema Startup.

Unirme a la comunidad