本期 Tempest Rust Daily 整理 2026 年 5 月 20 日的 Rust 生態訊號，可以收斂成四條主線：第一，語言與專案層面進入半年度收尾與心法整理——官方公布 2025H2 專案目標的成果，社群也持續用更好的角度重新解釋借用檢查器；第二，工具鏈的「Rust 化」從前端 build 工具一路擴散到 Kubernetes Ingress 與 JavaScript 執行階段，連 SRE 都被建議至少要讀得懂 Rust；第三，記憶體安全的邊界被一次 44 個 CVE 的揭露重新校準，C 到 Rust 的自動遷移也出現新的研究路線；第四，生態系專案持續長出來，向量資料庫、AI agent 防護、PyO3 跨語言整合都有值得一看的新作品。以下精選 12 則本日值得讀的 Rust 訊號。
Rust 語言與專案動態
Rust 官方部落格：2025H2 專案目標收尾報告—— Rust 官方部落格發布貼文，宣告 2025 下半年（2025H2）的專案目標期間正式結束。這一期 Rust Project 一共推進了 41 項專案目標，其中 13 項被列為旗艦目標（Flagship Goals）。對台灣長期追蹤 Rust 語言演進節奏的團隊，這份收尾報告等於是一張半年度的 roadmap 對照表——可以拿來核對自己關注的語言功能、編譯器改善或工具鏈項目落在哪個進度，並據此規劃內部升級與技術選型的時間點。原文：[https://ift.tt/ka9I2Cs]
借用檢查器其實是把你的「意圖」翻成記憶體安全—— 作者點出幾乎每個學 Rust 的人都會在同一個地方卡關：借用檢查器（borrow checker）。但文章主張一個換位思考的觀念——借用檢查器不是在跟你作對，它只是把你「想做的事」翻譯成「電腦真正需要的保證」，一旦接受這個框架，借用檢查器就不再是阻礙。對台灣正在帶新人入門 Rust 的 team lead，這條提供了一個很實用的教學切角：與其讓新人硬背規則，不如先建立「我寫的程式碼少講了哪些前提」這種思維，學習曲線會平緩許多。原文：[https://ift.tt/qpP438Q]
把所有東西改寫成 Rust 之後，沒人告訴你的事—— 一篇來自 Rustaceans 專欄的經驗文，作者在跑了 18 個月的全 Rust 生產系統之後，誠實地寫下「沒人會事先告訴你」的那些代價與權衡。對台灣正在評估是否要全面導入 Rust 的團隊，這條的價值是當成一份 reality check——重寫帶來的記憶體安全與效能是真的，但團隊的學習成本、招募難度、生態系成熟度落差也是真的，建議在拍板「全面 Rust」之前，先讀完這類長期實戰回顧再做決定。原文：[https://ift.tt/mlDuwPi]
工具鏈與基礎設施的 Rust 化
為什麼每位 SRE 都該學一點 Rust—— 作者強調他不是要大家把整個技術棧改寫成 Rust，而是「學到足以讀懂它」就好。理由是 Rust 已經出現在基礎設施的各個角落——可觀測性領域的 Vector、OpenTelemetry collector 元件、Tempo，以及 Loki ingester 的某些路徑都用上了 Rust。對台灣的維運與平台團隊，這條的提醒很務實：即使你不打算用 Rust 寫服務，當線上 infra 工具出問題、需要翻原始碼追根因時，看得懂 Rust 已經逐漸從加分項變成基本功。原文：[https://ift.tt/bcHiz18]
把 Go 換成 Rust：Kubernetes Ingress 成本砍 10 倍—— 一篇案例文描述一張 4,200 美元的 AWS 帳單，如何逼著一家新創把原本用 Go 寫的 ingress 換成 Rust，最終把基礎設施成本砍掉約 90%、達到「便宜 10 倍」的效果。對台灣面臨雲端成本壓力的後端團隊，這條可以當成 ingress / 閘道層選型的參考點，但要提醒自己這是單一團隊、單一情境的結果——成本能不能複製，取決於流量特性、原本架構的浪費程度與重寫的人力投入，不宜直接把「10 倍」當成普遍承諾。原文：[https://ift.tt/P9MtEJZ]
Rust 工具鏈讓 JavaScript 網站快 53 倍—— 作者兩週前主張，到了 2026 年 JavaScript 的建置流程大多會由 Rust 二進位檔組成；接著他親自把自己的網站（Next.js 16、App Router、MDX 部落格、Radix 元件等完整配置）整個遷移過去，並在遷移前後逐步驟量測，得出快 53 倍的結果。對台灣的前端團隊，這條是一個很具體的訊號：build 工具的世代交替已經發生，若你的 CI 還卡在舊版 JavaScript 工具鏈，可以把這篇的量測方法借來，先測自家專案各階段的耗時再決定升級優先序。原文：[https://ift.tt/WmY7wfV]
Bun 為何把執行階段改寫成 Rust—— Bun 一開始押注「JavaScript 工具可以快很多」，這個賭注成功了；現在它又下了一個新賭注——把執行階段（runtime）改寫成 Rust。文章整理了 Bun 為何這麼做、目前進度到哪、以及這對正在開發 JavaScript 應用的人意味著什麼。對台灣已經把 Bun 放進開發或正式環境的團隊，這條值得追蹤：runtime 的底層語言更換不是純內部重構，可能牽動效能特性、相容性與發行節奏，建議把這次重寫列入相依套件的風險觀察清單。原文：[https://ift.tt/G9QWHhI]
記憶體安全與 C 到 Rust 遷移
44 個 CVE 揭露了 Rust 的安全邊界在哪—— 2026 年 4 月，Canonical 揭露了 uutils 中的 44 個 CVE；uutils 是 GNU coreutils 的 Rust 重新實作版本，自 Ubuntu 25.10 起成為預設。這批揭露來自為了 26.04 LTS 而委託的外部稽核。對台灣的資安與平台團隊，這條是一記重要的提醒：「用 Rust 重寫」消除的是記憶體安全類的漏洞，但不等於程式沒有 bug——邏輯錯誤、CLI 行為與原版的差異、邊界條件處理，仍然是真實的攻擊面。把 Rust 改寫專案排進供應鏈評估時，仍要看它有沒有經過獨立稽核。原文：[https://ift.tt/qez4kvi]
以文件為導向的 C 到 Rust 代理式遷移（RustPrint）—— 一篇 arXiv 論文提出 RustPrint，一套以文件為導向的代理式（agentic）框架，用來把遺留的 C 儲存庫遷移到 Rust。論文指出現有的翻譯工具大多只在檔案或函式層級運作，會漏掉整體的架構意圖（architectural intent），而 RustPrint 試圖補上這一層。對台灣手上還握著大量 C 遺留程式碼的團隊，這條代表「C 轉 Rust」的研究正從逐行翻譯往「理解架構再遷移」演進——目前仍是研究階段，適合當成技術雷達上的觀察項，而非馬上導入的生產工具。原文：[https://ift.tt/zVoKeQa]
Armorer Guard：在本機掃描 AI agent prompt injection 的 Rust 工具—— AI agent 的工具呼叫（tool call）可能成為 prompt injection 與憑證外洩的攻擊管道。Armorer Guard 是一個用 Rust 寫的本機掃描器，會在工具呼叫真正執行之前先做分析，攔截 prompt injection 嘗試、憑證外洩與可疑的指令模式；它完全在本機執行、不會把資料回傳，並且開源。對台灣正在導入 AI agent 工作流的團隊，這條提供了一個值得評估的本地防護層思路——在 agent 取得 destructive 權限的趨勢下，「執行前先掃」的攔截點愈來愈有必要。原文：[https://ift.tt/7d0lRB2]
生態系專案精選
Vecdb：用 Rust 寫的 local-first 混合向量資料庫—— 一則 Show HN 介紹 vecdb，一個用 Rust 寫的開源、生產級向量資料庫。它可自架（self-hosted），把高維度 float32 向量與 JSON metadata 存在一起，並支援混合語意搜尋——把密集的最近鄰檢索（HNSW／IVF）與稀疏的 BM25 關鍵字搜尋結合在一起。對台灣正在做 RAG 或語意搜尋的團隊，這條多了一個 local-first 的自架選項：在資料不方便上雲、或想避免向量檢索綁定外部 SaaS 的情境下，這類同時支援向量與關鍵字的混合檢索引擎特別實用。原文：[https://ift.tt/XPfblNp]
用 PyO3 把 Python 嵌進 Rust—— 作者分享他想用 Rust 打造一個分散式協調平台，並透過 PyO3 把 Python 直接嵌進 Rust 程式裡的實作經驗。對台灣許多「核心要 Rust 的效能與安全、但又捨不得 Python 生態系」的團隊，這條是一個務實的折衷範例——PyO3 讓你可以把效能關鍵路徑留在 Rust，同時保留 Python 在資料科學、腳本與既有函式庫上的優勢。導入前建議先想清楚兩邊執行階段的邊界、GIL 的影響與部署時的相依關係。原文：[https://ift.tt/IjLPmO0]
結語
本日訊號的共同方向：Rust 正在從「值得學的語言」變成「繞不開的基礎建設」。官方的半年度收尾與借用檢查器的心法整理，讓語言本身的學習與演進路徑更清晰；工具鏈的 Rust 化從前端 build 工具一路推進到 Ingress 與 Bun 的執行階段，連 SRE 都被點名要讀得懂；44 個 CVE 的揭露則把「Rust 不等於零漏洞」這件事重新講清楚，提醒大家記憶體安全只是安全的一部分；而 RustPrint、Armorer Guard、vecdb 與 PyO3 整合則顯示生態系仍在快速長出新工具。對台灣團隊，這週可以很具體地做三件事：對照 2025H2 專案目標檢視自家的 Rust 升級規劃、把線上 infra 工具的「能不能讀懂原始碼」當成維運能力盤點一輪、並在導入任何 Rust 重寫專案或 AI agent 工作流時，把獨立稽核與執行前掃描列為基本要求。