AMD用一版BIOS更新，偷偷关掉了Ryzen的内存加密

你可能装了最新版BIOS，然后安全就没了。而且你永远都不会知道。

01. 一个Linux用户的偶然发现

今年4月，一个叫Ben Kilpatrick的Linux用户，在装系统时随手检查了一行状态码。

tsme_status = 0

TSME，全称 Transparent Secure Memory Encryption，是AMD芯片内部的一个硬件加密引擎。它用CPU内置的AES模块，自动加密写入内存的所有数据——密码、私钥、加密会话、浏览器里打开的网银页面，全都在RAM里是密文。

这个功能从2020年左右开始，在所有AMD Ryzen CPU上都能用。包括你手里的那颗。

Kilpatrick当时用的是Ryzen 7 9700X，Zen 5架构，不算老。按理说TSME应该开着。但状态码显示：关的。

他以为是主板BIOS设置问题。去BIOS里翻，选项还在，甚至显示"Enabled"。但实际测下来，加密根本没生效。

BIOS选项亮了，但加密没亮。这就是最坑的地方。

02. 一追到底，发现AMD在玩消失

Kilpatrick把这个问题提到了AMD的公开GitHub工程页面。AMD的fellow级工程师Tom Lendacky一开始还帮忙排查，建议他切换BIOS选项、联系主板厂商。

但事情从这开始变味了。

MSI的技术支持后来反馈：AMD官方告诉他们，TSME只给Ryzen PRO和EPYC用，普通消费级Ryzen不支持。

等等——用了好几年的功能，怎么突然就"不支持"了？

工程师做了一个对照测试：同一块ASUS X870E主板、同一版BIOS固件，插上Ryzen 9800X3D（消费级）和Ryzen PRO 9945（专业级）。结果：

• PRO处理器：tsme_status = 1（加密开启）
• 消费级处理器：tsme_status = 0（加密关闭）

板上钉钉。不是BUG，是故意关掉的。

更让人不安的是，AMD内部有个叫 DfIsTsmeEnabled 的标志位，消费级芯片上读出来是 FALSE，PRO/EPYC上是 TRUE。AMD拒绝回答这是硬件层面的限制还是软件策略——说白了，他们不想告诉你为什么。

而那位Tom Lendacky工程师，在最后关头留下一句"抱歉我没有更多信息可以分享了"，然后彻底沉默。

03. Windows用户才是真正的"受害者"

这里有一个更扎心的细节。

在Windows上，没有任何办法能看到TSME是否开启。没有系统通知，没有设备管理器选项，没有日志条目。Windows用户只能——完全不知道自己曾经的安全保护已经没了。

Linux用户至少还能敲一行 cat /sys/kernel/debug/amd_iommu/tsme_status 看一眼。

Windows用户？抱歉，你连知情权都没有。

而且很多主板厂商（华硕、微星、技嘉）在BIOS里默认把TSME选项设为"Auto"或"Enabled"——这意味着用户白白付出了性能代价（TSME会增加大约8ns的内存延迟），却根本得不到加密保护。

交着保护费，保安早就走了。

04. 这跟你有关系吗？

如果你只是打游戏、刷网页、看视频——实话实说，TSME关了对你的日常使用没影响。

它防的是物理接触型攻击：有人短暂拿到你的机器（比如酒店房间、共享工位、过安检），通过Thunderbolt外设直接DMA读内存、或者通过调试接口抓取内存总线信号。没有TSME，RAM里的密码、私钥、浏览器会话全是明文的，谁有物理接触都能读出来。

这种攻击普通人被针对的概率确实不高。但如果你跑加密货币节点、操作硬件钱包、公司笔记本带客户数据——这就是真实的威胁边界。

AMD的官方回应只有一句话：TSME是"PRO Technologies的一部分，仅适用于PRO处理器"。

这是AMD第一次公开声明这种限制。但他们没说的是——为什么之前能用？为什么闭口不谈地去掉？为什么工程师先帮忙排查然后装死？

05. 个人观点：这比Intel的漏洞还让人恶心

我不是安全偏执狂。但我得说句实话——这件事比Intel这些年爆的CPU漏洞更让人不舒服。

Intel的漏洞（Meltdown、Spectre、各种变种）至少是意外发现的，被公开后Intel不得不承认、打补丁、性能下降。整个过程透明，用户知情。

AMD这次是什么？一个存在了五六年的安全功能，用一版BIOS更新静默关掉。不公告、不解释、不回应。 工程师先帮你修，修到一半接到上级指示直接闭嘴。

而且理由站不住脚。你说"TSME是PRO独有的功能"——那为什么在消费级芯片上跑了五年没人发现"用不了"？为什么2020年AMD自己的工程师还在GitHub上确认Ryzen 3700X"should support TSME"？

这不是技术决策。这是商业切割。通过故意削弱消费级产品的安全能力，拉大PRO系列的溢价空间。

这种"先让你用上、再悄悄拿走"的套路，比一上来就没有更恶心。

06. 评论区聊两句

你用的是AMD还是Intel？更新BIOS之前会看更新日志吗？

我自己是准备去查一下手头机器的 tsme_status 了——虽然大概率已经是0，但至少想确认一下这条防线是什么时候被撤走的。