从“鲧”到“禹”：海光分叉AMD，走出芯片堵漏陷阱

在中国古老的文化里，流传着两则家喻户晓的治水故事：鲧奉帝命治水，一味采用“堵”的方式，逢水筑堤，最终洪水冲垮堤坝，治水失败；大禹则跳出“堵”的思维定式，先夯实地基、再顺地势开凿河道，既筑牢防洪根基，又保障水流通畅，终成千古功业。这一“堵”一“筑”的选择，不仅决定了治水的成败，更藏着应对危机的底层逻辑——事后修补终是治标，事前筑牢方为治本。

如今，这场跨越千年的“治水智慧”，却在半导体行业上演了现实版。

德国CISPA亥姆霍兹信息安全中心曝光的StackWarp漏洞，让海外x86芯片陷入“堵漏洞就丢性能”的困局，恰似鲧治水的窘境；而与AMD实现技术彻底分叉、架构完全自主的海光C86芯片，却能原生免疫该漏洞，靠的正是类似大禹“先筑根基、再保流转”的创新思路，用底层自主设计筑牢芯片“防洪大堤”。

01

鲧用土堵水，失败了

要读懂这场芯片行业的“治水博弈”，先搞清楚StackWarp这个“洪水”到底是什么？

StackWarp是一种主机侧通过修改特定MSR寄存器、结合单步执行机制，突破AMD SEV-SNP虚拟机完整性保护的漏洞。AMD SEV-SNP虚拟机以主机不可信任为安全模型。StackWarp漏洞通过主机更改MSR 0xC001102E的bit 19使得虚拟机RSP寄存器的值更新发生异常。由于虚拟机程序栈中保存了函数返回地址和程序运行数据，攻击者可通过篡改虚拟机RSP寄存器，实现虚拟机程序执行控制流和数据流篡改。攻击者可以利用SEV-SNP虚拟机单步执行机制在虚拟机特定指令处退出到Host实施精确攻击，因而通过该漏洞可以实现符合意图的攻击，例如RSA密钥恢复、绕过OpenSSH的密码认证等。

简单来说，StackWarp是芯片硬件设计时就留下的“先天缺陷”，相当于河流的堤坝从一开始就没筑牢，地基不牢，水流一急必然溃堤。这种直指CPU核心栈引擎的攻击，突破安全防护、入侵系统甚至夺取最高控制权，对于服务器、数据中心这些关键基础设施来说，后果堪比洪水冲垮城市。

要知道，底层架构的安全缺陷，再精密的补丁也难以根除。目前，AMD已给出相关恢复补丁，并建议用户关闭超线程，用CPU核心数减半的方式保障抵御该漏洞风险。

02

大禹换了种方式：不堵，只筑

真正的芯片安全，不是漏洞出现后如何修补，而是从源头让漏洞无法产生。海光系列CPU之所以能对StackWarp漏洞完全免疫，核心在于两点：一是实现了与AMD的技术彻底分叉，架构设计自主可控；二是手握x86指令集完整永久授权，从根源杜绝了授权风险，这也正是海光区别于其他依赖阶段授权、版本授权厂商的核心优势。

支撑这一成果的核心，就是海光自研的CSV3机密计算技术。CSV3是海光完全自主研发的虚拟化技术，其硬件实现和AMD的SEV-SNP虚拟化技术存在本质区别。上文提到，该漏洞被用来实现有意义攻击的条件是在虚拟机的特定指令处退出到Host中篡改MSR，而实现这一条件的关键前提是主机具备更改虚拟机页表从而能够构造虚拟机单步执行的能力。AMD SEV-SNP虚拟机的主机可以更改NPT页表，因此其主机具备虚拟机单步执行能力。海光CSV3技术能够阻止主机篡改CSV3虚拟机的页表，避免SEV-SNP虚拟机存在的单步执行的问题。攻击者在无法构造虚拟机单步执行的条件下，仅通过篡改MSR并不能在精确的指令处实现符合目的的攻击，因此，海光CSV3技术不存在该漏洞利用的条件，也免疫该漏洞攻击。

海光的安全设计是贯穿芯片设计全流程的系统工程。就像大禹治水要考察全域水系、统筹规划一样，海光在芯片底层架构就扩充了安全算法指令，内置独立的安全处理器，把机密计算、可信计算这些安全功能变成芯片的“天生能力”。这种设计让海光CPU实现了“安全和性能并行”——既能保障性能，又能防范漏洞。

03

十年走一条路，把安全变成习惯

海光能拿出“疏导式”的安全方案，不是一蹴而就的，背后是一条“引进吸收—自主创新”的迭代之路。

回溯技术演进历程，海光于2015年获得AMD Zen1架构授权，但并未止步于简单复刻，而是以此为基础开启自主迭代之路，最终形成完全自主的C86架构，实现了与AMD后续技术路线的彻底切割。更为关键的是，海光获得的是x86指令集完整永久授权，涵盖SSE、AVX等全系列扩展指令集，是国内唯一获得该完整授权的芯片厂商。这种完整授权与常见的版本授权、阶段授权有着本质区别：版本授权仅能使用特定版本的指令集功能，阶段授权存在到期终止、升级受限的风险，而海光的完整永久授权，既确保了与现有x86生态的无缝兼容，又从法律和技术层面杜绝了后续授权纠纷、功能阉割的隐患，为自主创新提供了稳定的底层基础。

海光C86安全计算架构CSCA包含的安全技术有安全密钥、安全处理器、安全启动、安全存储、密钥管理及使用、动态度量保护、内存加密、机密计算、密码计算、可信计算标准支持、芯片安全防护。

作为海光自主创新的核心成果，C86安全计算架构的价值体现在三大维度：

一是指令集层面的自主扩充。海光在兼容主流x86指令的基础上，自主新增了国密算法指令、安全校验指令等核心安全指令，让芯片具备“原生安全运算能力”。

二是内核架构的安全重构。C86架构将安全逻辑深度融入CPU内核设计，从指令执行、内存管理到虚拟化交互，每一个环节都嵌入安全校验机制，从架构底层杜绝类似StackWarp的漏洞利用空间。

三是全生态的安全适配。海光C86架构已完成与国产操作系统、数据库、中间件等全产业链的适配，形成了“芯片-软件-应用”的全栈安全生态。

持续的“根基建设投入”换来了扎实的技术壁垒。海光服务器CPU已通过权威安可测评，其中C86系列核心产品C86-4G于2024年5月入选中国信息安全测评中心安全可靠测评结果公告，斩获安可测试最高等级“二级”标准，同时其处理器及可信密码模块还通过国家密码管理局商用密码检测中心认证，符合《GM/T 0008 安全芯片密码检测准则》《GM/T 0028密码模块安全技术要求》等核心规范并获得商用密码产品认证证书。这一系列安可测评的通过，不仅印证了其安全设计的合规性与可靠性，更实现了在保障生态兼容的前提下，核心计算部件安全可控的落地目标，为后续大规模进入信创市场筑牢了资质根基。

04

堵不如筑，补不如防

千年治水智慧，今朝芯片回响。当海外芯片还在“堵漏洞”的困局中左右为难时，海光用“先筑安全根基”的创新思路给出了更优解。这背后的核心逻辑只有一个：自主创新才能掌握芯片安全的主动权。

当下数字时代，数据成为核心生产要素，而芯片作为数据计算、存储、传输的核心入口，其安全直接决定了数据的机密性、完整性和可用性。从底层架构来看，芯片的安全缺陷并非单一设备的故障问题，而是会形成全链路的安全漏洞，不仅会导致企业核心数据泄露、业务系统瘫痪，更会让国家关键基础设施面临网络攻击的风险，直接影响数据主权与产业安全。尤其在服务器、数据中心等高负载场景中，芯片承担着万亿级计算、高频交易、大模型训练等核心任务，其安全防护能力更是成为保障业务连续运行、规避经营风险与合规风险的关键。也正因如此，芯片安全早已从单纯的技术问题，升级为关乎产业自主可控、数字基建稳固的核心命题，从设计源头筑牢芯片安全防线，成为行业发展的必然选择。

未来，随着国产芯片技术的持续演进和生态的不断完善，中国信息产业的“芯河道”必将因扎实的安全根基而更加通畅、安全，为数字经济的高质量发展提供坚实支撑。