AMD 無聲無息 Remove 咗 TSME 記憶體加密 — 成件事嘅來龍去脈

呢件事嘅發現源頭好得意：一個關注私隱嘅 Linux 用家。

發現者： 安全研究員 Ben Kilpatrick 喺更新韌體之後，發現自己部 Ryzen 機嘅 TSME 唔見見咗。佢展開咗幾個月嘅調查，全程記錄喺 GitHub 上面 。

確認過程： Kilpatrick 用 Host Security ID (HSI) —— 一個韌體審計工具 —— 去檢查，個工具報告話 TSME 已經唔再支援，即使佢喺之前嘅韌體版本係有 BIOS 選項去開啓呢個功能嘅 。最後鎖定呢個改變係嚟自 AGESA 1.2.7.0。主機板廠商 MSI 之後都確認，TSME 喺 AGESA 1.2.6.0 仲用得，但喺新版韌體已經被 disable 咗 。

點解咁難 detect： 如果你用 Windows，基本上冇實際方法睇到呢個改變。如果用 Linux，都要行專門嘅審計工具先 detect 到 。如果唔係 Kilpatrick 去深究，呢個改變可能永遠冇人知 。

社群同公司點回應

社群反應： 憤怒嚟得好快又好大。

• 安全研究員同發燒友都話呢個靜靜雞移除嘅做法係嚴重違反信任 。
• 件事喺 2026 年 6 月 18 日衝上 Hacker News 榜首，成為當時最多人討論嘅話題 。
• 批評重點係完全冇透明度：冇安全公告、冇 changelog 條目，甚至 AMD 嘅工程師最初被人問到嘅時候都玩失蹤 。

AMD 嘅官方回應： 俾人鬧爆之後，AMD 出咗聲明：

「關於某啲非 PRO 嘅 Ryzen 9000 系列桌面處理器，之前有個 BIOS 選項可以開啓 Memory Guard，但喺最近一次更新入面被移除咗。基於社群嘅寶貴意見，我哋會喺 7 月嘅 BIOS 更新入面重新加入呢個選項。」

AMD 確認：

• Ryzen PRO 系列 會永久保留 TSME 。
• 非 PRO 嘅 Ryzen 9000 桌面 CPU 會喺 2026 年 7 月 透過 BIOS 更新重新獲得 TSME 。

AMD 話佢哋「好重視客戶數據安全」，但到依家都 冇公開解釋過點解當初要移除 TSME —— 究竟係授權問題、產品分級策略、定係內部出錯，全部冇講 。

更大嘅 pattern：AMD 嘅韌體透明度問題

TSME 呢件事唔係單一事件，佢反映出一個 pattern：AMD 透過封閉嘅 AGESA 韌體，靜靜雞作出影響安全嘅改變，要等獨立研究員發現，之後先喺公眾壓力下先 reactive 咁回應。

• AGESA DDR5 PMIC 漏洞 (CVE-2025-48516, 2026 年 5 月)： AGESA bootloader 對 DDR5 記憶體模組嘅預設配置有安全問題，可能令攻擊者提升權限或者令系統永久死機 。

• Zen 5 微碼 bug (CVE-2025-62626, 2025 年)： Zen 5 嘅一個高風險漏洞，喺某啲情況下會產生可預測嘅隨機數金鑰 (RDSEED)，最後要透過 AGESA 韌體更新修補 。

• CVE-2024-56161 (2025 年 2 月)： 一個 CVSS 7.2 嘅嚴重漏洞，攻擊者可以注入惡意微碼，繞過 Secure Encrypted Virtualization (SEV-SNP) 嘅保護 。

• AGESA bootloader buffer overflow (CVE-2025-29951)： AMD Secure Processor (ASP) bootloader 嘅緩衝區溢出漏洞，容許權限提升同執行任意程式碼 。

• AGESA 透明度長期問題： AMD 一直因為 封閉源碼嘅 AGESA 韌體 而為人詬病 —— 同佢哋自 2023 年就話要轉用嘅開放源碼 openSIL 韌體完全相反 。呢種封閉性令到好似 TSME 呢啲安全改動可以神不知鬼不覺咁塞入去，冇人可以做獨立審計。

向前看嘅意義

TSME 移除事件反映咗一個令人擔憂嘅模式：安全相關嘅改動，透過封閉嘅 AGESA 韌體靜靜雞做，要靠獨立研究員發現，之後先喺公眾壓力下先肯 reactive 回應。呢件事令唔少人再次呼籲 AMD 加快過渡去開放源碼嘅 openSIL 韌體 。對於 Ryzen 用家嚟講，依家要記住：你系統報告嘅安全功能，可能同韌體實際嘅情況唔一致 —— 而獨立驗證，可能係唯一可靠嘅方法。