【Rust日报】2026-09-18 警惕针对知名 Rustaceans 的定向攻击
内容提要
Rust官方警告维护者遭定向攻击，攻击者通过视频通话诱导安装恶意软件，建议启用MFA并核查账号。NVIDIA推出CUDA Rust，提供cuda-oxide与cutile-rs两条GPU内核编写路径，均处早期。文章还分析Rust LSP难点，并介绍Slint 1.18新增Flexbox布局、spring动画等特性。
延伸解读
攻击手法与历史关联
攻击者以招聘、项目或合同等正面机会为由约视频通话，诱导安装所谓缺失的音频编解码器或通过剪贴板执行命令，并伪造公司资料与LinkedIn形象以通过粗略核验。同类手法在2026年6月已针对多名知名Rust开发者出现，上月arrayref也因类似攻击被短暂攻破。该风格与已知的DPRK Contagious Interview活动一致，但是否为同一活动尚不确定。
CUDA Rust两条路径的差异与现状
cuda-oxide采用SIMT模型，通过自定义rustc codegen backend将MIR经Pliron、LLVM编译到PTX，需nightly、Linux、计算能力≥8.0及CUDA toolkit，用DisjointSlice等类型表达每线程独占写访问。cutile-rs采用Tile模型，在tile上编程由Tile IR编译器映射到线程，可用stable Rust（≥1.89）和CUDA 13.3，首次启动时JIT。两者均处早期，cuda-oxide为early alpha，cutile-rs已上cra
Rust LSP的工程挑战
LSP需从不完整信息尽快给出可用结果，而非像编译器那样全有或全无。协议握手阶段若阻塞到完整索引结束，编辑器会空等很久，因此rust-analyzer和Rust Glancer在initialize后尽快响应，再渐进发现工作区。分析需虚拟文件系统与source generation，并在状态变更时取消过期查询；读请求需可并行，写请求与读请求要隔离。不同请求精度需求不同：documentSymbol解析当前文件即可，hover需要item tree/defmap，inlay hint需要函数体与类型推断，referen
Slint 1.18的布局与动画增强
Slint 1.18新增FlexboxLayout，支持熟悉的flex式API与换行等，并可在运行时调整控件z-order。动画侧加入spring动画，并更容易让元素沿path运动与朝向。语言层面支持在.slint中对数组/model做push/remove/insert，结构体字段可声明更合适的默认值，以及Platform.uses-mock-data便于预览mock数据。其他包括实验性Vello渲染器、无边框窗口的WindowMoveArea、读屏器可读文本输入内容与选区，以及LSP重命名时可联动Rust/C+
Q&A
最近针对Rust开发者的定向攻击具体是怎么进行的？
攻击者以招聘、项目或合同等正面机会为由约视频通话，然后诱导安装所谓缺失的音频编解码器，或通过剪贴板让对方执行命令。他们会新建看起来合法的公司资料与LinkedIn形象以通过粗略核验。
Rust官方对维护者有哪些安全建议？
建议对陌生冷启动联系保持怀疑；尽量使用自己熟悉的通话平台，并由自己发起通话。同时复查账号：开启MFA、检查异常登录。如有crates.io账号疑虑可联系help@crates.io；其他安全问题可联系security@rust-lang.org。
NVIDIA推出的CUDA Rust提供了哪两种编写GPU内核的路径？
两条路径：SIMT（cuda-oxide）和Tile（cutile-rs）。cuda-oxide通过自定义rustc codegen backend，经MIR/Pliron/LLVM到PTX；cutile-rs在tile上编程，由Tile IR编译器映射到真实线程。
cuda-oxide和cutile-rs目前处于什么阶段？
两者都仍是早期阶段、非生产就绪；cuda-oxide为early alpha，cutile-rs已上crates.io，并被HuggingFace Grout、mistral.rs等使用。
为什么构建Rust LSP很难？
难点在于要从不完整信息尽快给出可用结果，而不是像编译器那样“全有或全无”。协议握手阶段若阻塞到完整索引结束，编辑器会空等很久；因此需在initialize后尽快响应，再渐进发现工作区。同时需要虚拟文件系统与source generation，并在状态变更时取消过期查询。读请求需可并行，写请求与读请求要隔离。不同请求所需精度不同。
Slint 1.18版本有哪些主要新特性？
新增FlexboxLayout，支持flex式API与换行；可在运行时调整控件z-order；加入spring动画，并更容易让元素沿path运动与朝向；语言层面支持在.slint中对数组/model做push/remove/insert，结构体字段可声明更合适的默认值，以及Platform.uses-mock-data便于预览mock数据。其他包括实验性Vello渲染器、无边框窗口的WindowMoveArea、读屏器可读文本输入内容与选区，以及LSP重命名时可联动Rust/C++访问器等。
