Совокупность документации и компилятора. Дело в том что в std вот есть unsafe, им можно, в любых взаимодействиях с системой есть unsafe, там можно, no_std вроде как без unsafe, но там unsafe чаще всего самому приходится писать. То есть ну не бывает программы на safe rust целиком и полностью, которая не вызывает под капотом unsafe