微软改的只是一条注脚

📡 AI新闻 2026-10-31 约 15 分钟阅读

六年之后，微软悄悄把自己从 TPM 岗位上撤了下来微软没有"移除 TPM"。Windows 11 对 TPM 2.0 的硬性要求一个字没改，BitLocker 照常加密，Windows Hello 照常刷脸。它撤掉的是 Pluton 的一份兼职：从 2026 年的新芯片开始，AMD 和高通平台上

💡 你将学到

六年之后，微软悄悄把自己从 TPM 岗位上撤了下来

微软没有"移除 TPM"。Windows 11 对 TPM 2.0 的硬性要求一个字没改，BitLocker 照常加密，Windows Hello 照常刷脸。它撤掉的是 Pluton 的一份兼职：从 2026 年的新芯片开始，AMD 和高通平台上的 Pluton 不再兼任 TPM，这活儿交回给了芯片厂商的固件 TPM（fTPM）或主板上的独立芯片。

真正变的不是功能，是补丁链路——以后你的 TPM 出了漏洞，得等笔记本厂商发 BIOS。

顺带说一句，这条新闻在国内基本被写错了。

微软改的只是一条注脚

没有发布会，没有官方博客，没有新闻稿。微软只是在支持文档《Microsoft Pluton as Trusted Platform Module》里加了一段 Important 提示：从 2026 年硅片开始，微软 Pluton 在 AMD 和高通平台上不再担任 TPM；在这些平台以及 Intel 上，TPM 2.0 改由厂商的固件 TPM 或独立 TPM 提供。

仔细看语法。"不再担任 TPM"的主语只有 AMD 和 Qualcomm，后面那句 as well as on Intel 是在补充说明 Intel 也一样由 fTPM 提供。

为什么 Intel 不算变了？因为 Intel 压根没让 Pluton 当过 TPM。Core Ultra 200V 和 Series 3 里确实集成了 Pluton 模块，但负责 TPM 2.0 的一直是 Intel 自家的 PTT，或者主板上的独立芯片。

可国内从 IT之家到搜狐、腾讯新闻，全都写成了"AMD、英特尔和高通三家的 Pluton 不再承担 TPM 2.0"。源头大概是英文标题 Microsoft Removes Pluton TPM Support From New AMD, Intel, and Qualcomm CPUs——标题三家并列，正文其实交代了细节，传到中文只剩标题了。

一字之差，是"改了三家"和"改了两家、Intel 一直如此"的区别。

被让出去的，正好是当年的卖点

要理解这次调整的分量，得回到 2020 年 11 月。微软拉上 AMD、Intel、高通发布 Pluton，主讲人 David Weston 给出的逻辑很硬：能物理接触的攻击者可以盯着 CPU 和 TPM 之间那条通道下手，把安全处理器塞进 CPU，通道就消失了。

另一个卖点更实用——固件走 Windows Update 直推。传统 TPM 的固件得靠主板厂商发 BIOS，而 Pluton 能像系统补丁一样推，开机时先找有没有新固件，没有才回落到 SPI flash 里的旧版本。2024 年 5 月，微软还宣布所有 Copilot+ PC 默认启用 Pluton。

现在被让出去的，正是这套直推能力。

三步变四步，每一环都可能卡

TPM 里存着 BitLocker 密钥、Windows Hello 凭证、设备身份。它一旦有漏洞，修复路径的长短直接决定你多快能重新安全。

Pluton 兼任 TPM 时，链条只有三步：微软写固件，Windows Update 推给你，完事。换成 fTPM 变成四步，每一环都可能卡：芯片厂写固件，笔记本厂商打包进 BIOS，你去官网按型号找下载，手动刷写。刷的时候 BitLocker 还可能弹恢复密钥。

这不是假设。今年 8 月，AMD 披露了 TPM 2.0 参考代码里的两个高危漏洞，影响自家 fTPM，官方给用户的话是"请联系你的 OEM，获取适用于你产品的 BIOS 更新"。翻译一遍：漏洞是芯片厂的，补丁等笔记本厂商，动手得你自己来。你要是买了那种发过一版 BIOS 就再也不管的型号，这个洞可能一直躺在那儿。

AMD 的 fTPM 本来口碑也一般。2022 年它导致部分 Ryzen 机器随机卡顿，靠 AGESA 1207 之后的 BIOS 才修好；2023 年柏林工业大学的研究者用约 200 美元的硬件加几个小时物理接触，把 Zen 2、Zen 3 上的 AMD fTPM 破了。

微软一个字都没解释

官方文档只说变了，没说为什么。对一个主导了六年的项目来说，这不常见。

外面有几种猜测，我标一下这是猜测。一是兼容性包袱重：联想 2022 年的 Ryzen 6000 ThinkPad 出厂就把 Pluton 默认关了；Linux 等到内核 6.3 才支持 Pluton 的 TPM，还是开发者 Matthew Garrett 在零文档的情况下硬啃出来的。二是责任划分：Pluton 由微软写固件，出了漏洞责任在微软；交回厂商，责任就分散到芯片厂和 OEM。

还有个细节挺微妙。微软 Pluton 的主页面 5 月才更新过，至今还写着"旨在提供 TPM 功能"，跟 9 月这条注脚互相打脸。改得不干净，反而说明这确实是次低调调整。