Mark Russinovich: 微软在Windows、Office和Azure中采用Rust语言的实践与展望

Rust Foundation

总结：

Mark Russinovich在RustConf 2025上的主旨演讲，重点介绍了微软在其产品和平台中采用Rust语言的旅程、经验和未来方向。

微软发现，其软件中约70%的漏洞是内存安全问题，这促使他们转向Rust等内存安全语言。
Mark Russinovich在2022年发布了一条引人注目的推文，呼吁停止C/C++新项目，转而使用Rust。
微软已将“Rust优先”策略作为官方战略，并向Rust基金会捐款100万美元以支持其生态系统。
Rust在Windows中被应用于Surface固件（Project Mu）和Windows内核（Win32k GDI REGION），以增强安全性。
Office团队利用Rust重写了MIMIR语义索引器和搜索功能，显著提升了性能并降低了内存占用。
AzureBoost代理、Calipra硬件信任根、Hyper-V管理程序以及OpenVMM虚拟机管理器等Azure核心组件也开始采用Rust。
微软通过提供Visual Studio Code、Windows调试器中的原生Rust支持、Cargo SDK插件以及实用Rust开发指南来改善开发体验。
微软正在探索使用大型语言模型（LLMs）来辅助将Python代码翻译成Rust，以加速迁移过程。
开发人员普遍认为Rust能提高性能，减少数据竞争和内存安全漏洞，但同时也面临互操作性、异步调试和动态链接等挑战。

微软转向Rust的动机：内存安全问题 [00:00]

Mark Russinovich在RustConf 2025开幕式上的主题演讲，讨论微软在Windows、Office和Azure中采用Rust的实践。 [00:00]
微软的安全响应中心（MSRC）近20年的数据显示，约70%的CVE漏洞源于内存安全问题。 [00:25]
- 历史原因和系统级需求导致微软大量代码使用C/C++编写，这些语言无法提供内存安全保证。 [00:44]
Rust承诺解决内存安全问题，Mark Russinovich认为无论如何改进C/C++，都无法达到Rust原生的安全性水平。 [01:03]
2022年，Mark Russinovich在Twitter上发文，呼吁停止在C/C++中启动新项目，在需要非GC语言的场景中采用Rust，并认为行业应弃用C/C++。 [01:20]
- 这条推文引发了广泛讨论，并促使微软CEO Satya Nadella对此进行询问。 [01:51]
微软正式采纳“Rust优先”战略，并在官方安全声明中提到扩展内存安全语言（如C#、Python、Java和Rust）的使用。 [02:25]
国家安全局（NSA）也发布了指南，建议开发者转向内存安全语言以减少软件漏洞。 [02:26]
Linux内核宣布支持Rust。 [02:42]
微软承诺加速和自动化威胁建模，部署CodeQL进行代码分析，并计划将其商业产品100%转向内存安全语言。 [02:50]
微软作为Rust基金会的创始成员，直接和通过OpenSSF及Alpha-Omega项目向Rust生态系统捐赠了100万美元。 [03:16]

Rust在Windows中的应用 [03:27]

微软在Windows中重点关注无法容忍垃圾回收且安全性至关重要的领域引入Rust。 [03:49]
Surface固件：
- Microsoft Surface笔记本和台式机使用的Project Mu是基于Rust的开源UEFI实现。 [03:59]
- 微软还简化了OEM合作伙伴用Rust编写UEFI模块的过程。 [04:13]
- 微软通过核心组件的小范围应用，提高整个生态系统的安全性。 [04:20]
Symcrypt加密库：
- Symcrypt是Windows内置的密码学库，现在也提供了Rust集成支持。 [04:28]
- Rust被用于实现高性能的TLS协议，以避免垃圾回收带来的性能问题。 [04:39]
DirectWrite Core（文本渲染）：
- DirectWrite Core负责字体解析和渲染，历史上一直是Windows漏洞的常见来源。 [04:56]
- 两位开发人员用6个月时间将154,000行TrueType字体解析和渲染代码移植到Rust。 [05:37]
- Rust版本带来了5%-15%的字体成型性能提升，且没有性能损失。 [06:00]
Win32k GDI REGION（Windows内核）：
- Win32k.sys是Windows图形和窗口子系统的一部分，长期以来一直是内核漏洞的主要来源。 [06:20]
- 微软已将GDI REGION核心组件移植到Rust，该组件是许多漏洞的来源。 [07:16]
- 移植到Rust的代码现在已经随Windows系统正式发布。 [07:26]
- Rust的引入使得即使出现内存越界访问等问题，系统也倾向于崩溃而非被利用，提高了安全性。 [08:04]
Windows驱动程序：
- 微软正在为Windows驱动程序模型创建FFI（外部函数接口），使OEM合作伙伴可以使用Rust编写硬件驱动程序。 [08:47]
- 目前这仍是实验性项目，但未来将成为Windows驱动程序开发的官方方式。 [09:07]

Rust在Office中的应用 [09:17]

Office作为大型应用程序，也包含运行在大规模环境中的服务。 [09:20]
MIMIR语义索引器和搜索 (DiskANN)：
- DiskANN是微软开发的用于大规模近似最近邻搜索的语义搜索算法，最初使用C实现。 [09:35]
- Office需要处理数百万文档的搜索，C实现的DiskANN无法满足其性能和可伸缩性需求。 [10:20]
- 微软决定将DiskANN组件用Rust重写。 [10:31]
- Rust实现的DiskANN在相同查询时间内，准确性远高于C++版本，且内存占用更低（19.94 GB降至12.30 GB）。 [10:48]
- Office团队高度认可Rust，尤其是在处理高并发和异步操作方面的正确性。 [11:41]

Rust在Azure中的应用 [12:19]

作为Azure的CTO和Deputy CISO，Mark Russinovich推动Azure采用Rust来增强云平台安全性。 [12:24]
Calipra – 硬件信任根：
- Calipra是Open Compute项目的一部分，定义并实现了开源的硬件信任根。 [13:30]
- Calipra的ROM、固件和模拟器全部使用Rust编写，确保了启动过程的安全性。 [14:11]
Azure Boost代理：
- Azure Boost是卸载系统，将网络和磁盘I/O等操作从主机OS卸载到专用的ARM芯片。 [14:25]
- 所有处理来自虚拟机不受信任数据的代理程序，都强制使用Rust编写，以确保安全性。 [15:06]
- 许多现有C/C++代理也正被移植到Rust。 [15:51]
Hyper-V (Hypervisor)：
- Hyper-V是Azure平台安全边界的关键组件，安全性至关重要。 [16:00]
- 微软已开始将Hyper-V中的组件（如ARM64指令模拟和虚拟化栈）逐步移植到Rust。 [16:40]
OpenVMM (虚拟机管理器)：
- OpenVMM是模块化、跨平台的虚拟机管理器，从一开始就用Rust编写。 [17:33]
- 它兼容Hyper-V、Windows、Linux和KVM，是完全开源的项目。 [18:31]
HyperLight (轻量级VMM)：
- HyperLight是一个轻量级VMM，旨在嵌入到应用程序中，以安全执行不受信任的代码（如Wasm或预编译二进制文件）。 [18:43]
- 原始原型用C#开发，后移植到Rust，能够在大约1.5毫秒内启动虚拟机，延迟极低且开销最小。 [19:35]
- HyperLight用于Azure Front Door的Edge Actions，允许用户在网络边缘部署用户定义函数。 [20:19]
Azure Data Explorer (Kusto)：
- Azure Data Explorer是微软的日志分析系统，每日处理数百PB数据，执行数十亿查询。 [20:40]
- 一位开发人员用一年时间将数据存储层移植到Rust。 [21:09]
- 之后，查询引擎也移植到Rust，目前该服务包含230万行C#代码和约35万行Rust代码（C++代码正在减少）。 [21:25]
Azure SDK for Rust：
- 2024年初，微软正式发布了Azure SDK for Rust Beta版，这意味着Rust成为Azure的官方支持语言。 [21:38]

微软开发者的反馈 [21:54]

微软对开发者进行了调查，了解他们对Rust的看法。 [22:04]
优点：
- 开发者普遍喜欢性能提升、消除一整类错误（如内存安全漏洞），以及代码编写后无需长时间调试。 [22:24]
- LLMs（如GitHub Copilot）让Rust的上手曲线变得平缓。 [22:41]
- 丰富的生态系统和简化的依赖管理。 [22:30]
- 数据竞争/并发错误减少，减少了编写测试的摩擦。 [22:30]
- 内存安全相关漏洞减少。 [22:30]
- 大约经过两个月的学习，开发者就能适应Rust的借用检查器并喜欢上它。 [23:19]
挑战：
- C++、Rust和C#之间的互操作性仍有挑战。 [23:50]
- 工具和指南仍落后于其他语言。 [23:51]
- 异步代码调试困难。 [24:09]
- FFI（外部函数接口）即使在Rust中也很难安全地使用。 [24:15]
- 动态链接在未来可能会带来问题。 [24:17]
- 一些依赖的功能尚未稳定。 [24:22]
- 将Cargo与更大的构建系统集成仍需努力。 [24:23]
总体而言，Rust对开发者而言是巨大的积极因素，即使存在抱怨，他们也不愿放弃Rust。 [24:29]

加速迁移与未来展望 [26:41]

Symcrypt的Rust重写：
- Symcrypt是微软最敏感的核心加密代码，已开始用Rust重写，甚至使用了形式化验证的Rust版本。 [26:49]
- 目标是将Rust代码转译为C++，以便更好地与现有C++代码库互操作，同时保持验证的安全性。 [27:21]
Python到Rust的代码翻译器：
- 微软正在探索使用LLMs来辅助代码翻译。 [27:51]
- GraphRAG算法能够将源代码转换为抽象语法树和语义图，并生成分层代码摘要。 [28:00]
- LLM可以基于这些知识对大量代码进行推理，并自动将代码片段从Python翻译成Rust。 [28:11]
- 演示展示了将一个简单的Python跳跃游戏翻译成Rust。 [28:44]
微软正在通过LLMs加速从C/C++到Rust的代码迁移，目标是逐步消除蓝屏，带来更安全的软件世界。 [30:20]