從“鯀”到“禹”：海光分叉AMD，走出芯片堵漏陷阱

在中國古老的文化里，流傳著兩則家喻戶曉的治水故事：鯀奉帝命治水，一味采用“堵”的方式，逢水筑堤，最終洪水沖垮堤壩，治水失敗；大禹則跳出“堵”的思維定式，先夯實地基、再順地勢開鑿河道，既筑牢防洪根基，又保障水流通暢，終成千古功業。這一“堵”一“筑”的選擇，不僅決定了治水的成敗，更藏著應對危機的底層邏輯——事后修補終是治標，事前筑牢方為治本。

如今，這場跨越千年的“治水智慧”，卻在半導體行業上演了現實版。

德國CISPA亥姆霍茲信息安全中心曝光的StackWarp漏洞，讓海外x86芯片陷入“堵漏洞就丟性能”的困局，恰似鯀治水的窘境；而與AMD實現技術徹底分叉、架構完全自主的海光C86芯片，卻能原生免疫該漏洞，靠的正是類似大禹“先筑根基、再保流轉”的創新思路，用底層自主設計筑牢芯片“防洪大堤”。

01

鯀用土堵水，失敗了

要讀懂這場芯片行業的“治水博弈”，先搞清楚StackWarp這個“洪水”到底是什么？

StackWarp是一種主機側通過修改特定MSR寄存器、結合單步執行機制，突破AMD SEV-SNP虛擬機完整性保護的漏洞。AMD SEV-SNP虛擬機以主機不可信任為安全模型。StackWarp漏洞通過主機更改MSR 0xC001102E的bit 19使得虛擬機RSP寄存器的值更新發生異常。由于虛擬機程序棧中保存了函數返回地址和程序運行數據，攻擊者可通過篡改虛擬機RSP寄存器，實現虛擬機程序執行控制流和數據流篡改。攻擊者可以利用SEV-SNP虛擬機單步執行機制在虛擬機特定指令處退出到Host實施精確攻擊，因而通過該漏洞可以實現符合意圖的攻擊，例如RSA密鑰恢復、繞過OpenSSH的密碼認證等。

簡單來說，StackWarp是芯片硬件設計時就留下的“先天缺陷”，相當于河流的堤壩從一開始就沒筑牢，地基不牢，水流一急必然潰堤。這種直指CPU核心棧引擎的攻擊，突破安全防護、入侵系統甚至奪取最高控制權，對于服務器、數據中心這些關鍵基礎設施來說，后果堪比洪水沖垮城市。

要知道，底層架構的安全缺陷，再精密的補丁也難以根除。目前，AMD已給出相關恢復補丁，并建議用戶關閉超線程，用CPU核心數減半的方式保障抵御該漏洞風險。

02

大禹換了種方式：不堵，只筑

真正的芯片安全，不是漏洞出現后如何修補，而是從源頭讓漏洞無法產生。海光系列CPU之所以能對StackWarp漏洞完全免疫，核心在于兩點：一是實現了與AMD的技術徹底分叉，架構設計自主可控；二是手握x86指令集完整永久授權，從根源杜絕了授權風險，這也正是海光區別于其他依賴階段授權、版本授權廠商的核心優勢。

支撐這一成果的核心，就是海光自研的CSV3機密計算技術。CSV3是海光完全自主研發的虛擬化技術，其硬件實現和AMD的SEV-SNP虛擬化技術存在本質區別。上文提到，該漏洞被用來實現有意義攻擊的條件是在虛擬機的特定指令處退出到Host中篡改MSR，而實現這一條件的關鍵前提是主機具備更改虛擬機頁表從而能夠構造虛擬機單步執行的能力。AMD SEV-SNP虛擬機的主機可以更改NPT頁表，因此其主機具備虛擬機單步執行能力。海光CSV3技術能夠阻止主機篡改CSV3虛擬機的頁表，避免SEV-SNP虛擬機存在的單步執行的問題。攻擊者在無法構造虛擬機單步執行的條件下，僅通過篡改MSR并不能在精確的指令處實現符合目的的攻擊，因此，海光CSV3技術不存在該漏洞利用的條件，也免疫該漏洞攻擊。

海光的安全設計是貫穿芯片設計全流程的系統工程。就像大禹治水要考察全域水系、統籌規劃一樣，海光在芯片底層架構就擴充了安全算法指令，內置獨立的安全處理器，把機密計算、可信計算這些安全功能變成芯片的“天生能力”。這種設計讓海光CPU實現了“安全和性能并行”——既能保障性能，又能防范漏洞。

03

十年走一條路，把安全變成習慣

海光能拿出“疏導式”的安全方案，不是一蹴而就的，背后是一條“引進吸收—自主創新”的迭代之路。

回溯技術演進歷程，海光于2015年獲得AMD Zen1架構授權，但并未止步于簡單復刻，而是以此為基礎開啟自主迭代之路，最終形成完全自主的C86架構，實現了與AMD后續技術路線的徹底切割。更為關鍵的是，海光獲得的是x86指令集完整永久授權，涵蓋SSE、AVX等全系列擴展指令集，是國內唯一獲得該完整授權的芯片廠商。這種完整授權與常見的版本授權、階段授權有著本質區別：版本授權僅能使用特定版本的指令集功能，階段授權存在到期終止、升級受限的風險，而海光的完整永久授權，既確保了與現有x86生態的無縫兼容，又從法律和技術層面杜絕了后續授權糾紛、功能閹割的隱患，為自主創新提供了穩定的底層基礎。

海光C86安全計算架構CSCA包含的安全技術有安全密鑰、安全處理器、安全啟動、安全存儲、密鑰管理及使用、動態度量保護、內存加密、機密計算、密碼計算、可信計算標準支持、芯片安全防護。

作為海光自主創新的核心成果，C86安全計算架構的價值體現在三大維度：

一是指令集層面的自主擴充。海光在兼容主流x86指令的基礎上，自主新增了國密算法指令、安全校驗指令等核心安全指令，讓芯片具備“原生安全運算能力”。

二是內核架構的安全重構。C86架構將安全邏輯深度融入CPU內核設計，從指令執行、內存管理到虛擬化交互，每一個環節都嵌入安全校驗機制，從架構底層杜絕類似StackWarp的漏洞利用空間。

三是全生態的安全適配。海光C86架構已完成與國產操作系統、數據庫、中間件等全產業鏈的適配，形成了“芯片-軟件-應用”的全棧安全生態。

持續的“根基建設投入”換來了扎實的技術壁壘。海光服務器CPU已通過權威安可測評，其中C86系列核心產品C86-4G于2024年5月入選中國信息安全測評中心安全可靠測評結果公告，斬獲安可測試最高等級“二級”標準，同時其處理器及可信密碼模塊還通過國家密碼管理局商用密碼檢測中心認證，符合《GM/T 0008 安全芯片密碼檢測準則》《GM/T 0028密碼模塊安全技術要求》等核心規范并獲得商用密碼產品認證證書。這一系列安可測評的通過，不僅印證了其安全設計的合規性與可靠性，更實現了在保障生態兼容的前提下，核心計算部件安全可控的落地目標，為后續大規模進入信創市場筑牢了資質根基。

04

堵不如筑，補不如防

千年治水智慧，今朝芯片回響。當海外芯片還在“堵漏洞”的困局中左右為難時，海光用“先筑安全根基”的創新思路給出了更優解。這背后的核心邏輯只有一個：自主創新才能掌握芯片安全的主動權。

當下數字時代，數據成為核心生產要素，而芯片作為數據計算、存儲、傳輸的核心入口，其安全直接決定了數據的機密性、完整性和可用性。從底層架構來看，芯片的安全缺陷并非單一設備的故障問題，而是會形成全鏈路的安全漏洞，不僅會導致企業核心數據泄露、業務系統癱瘓，更會讓國家關鍵基礎設施面臨網絡攻擊的風險，直接影響數據主權與產業安全。尤其在服務器、數據中心等高負載場景中，芯片承擔著萬億級計算、高頻交易、大模型訓練等核心任務，其安全防護能力更是成為保障業務連續運行、規避經營風險與合規風險的關鍵。也正因如此，芯片安全早已從單純的技術問題，升級為關乎產業自主可控、數字基建穩固的核心命題，從設計源頭筑牢芯片安全防線，成為行業發展的必然選擇。

未來，隨著國產芯片技術的持續演進和生態的不斷完善，中國信息產業的“芯河道”必將因扎實的安全根基而更加通暢、安全，為數字經濟的高質量發展提供堅實支撐。