---
title: 研究人员称 DDRop 内存插入器可伪造 Intel TDX 远程证明
dek: 2026 年 9 月 14 日，来自 KU Leuven、ETH Zurich、Durham University 和 Google 的团队披露了 DDRop，这是一种能悄无声息地丢弃 DDR5 内存写入的低成本设备。Intel 和 AMD 表示，此类物理攻击不在其机密计算威胁模型的范围之内。
---

来自 KU Leuven、ETH Zurich、Durham University 和 Google 的研究人员先向 Intel 和 AMD 通报了研究结果，随后于 2026 年 9 月 14 日披露了 DDRop。DDRop 是一种小型硬件插入器，接在服务器的 DDR5 内存总线上。它会悄无声息地丢弃选定的内存写入。机密虚拟机（confidential VM）的内存由硬件加密，写入被丢弃后，它读到的是仍能正确解密的旧数据。这项研究的论文已列入 2026 年 ACM Conference on Computer and Communications Security 的议程。[^1]

研究人员表示，Intel Trust Domain Extensions（TDX）、Intel Scalable Software Guard Extensions（SGX）和 AMD Secure Encrypted Virtualization-Secure Nested Paging（SEV-SNP）的内存加密能保持数据机密，但不提供新鲜性（freshness）保证。他们表示，缺少新鲜性，处理器就无法判断内存中的值是否为最新。据他们报告，在 TDX 的默认完整性模式下，他们迫使受害虚拟机进入了调试模式，使虚拟机监控器（管理虚拟机的软件）能够读取其内存。他们还报告，即便在 TDX 更强的密码学完整性模式下，他们也改写了一台受其控制的恶意虚拟机的启动度量值。远程证明会报告启动度量值，即虚拟机启动时所加载软件的哈希值。他们表示，度量值被改写后，这台恶意虚拟机能以合法工作负载的身份通过远程证明。根据研究团队的物料清单（不含人工成本），按一批制作 10 台计算，每台插入器的零件成本为 159 美元。[^1]

这一攻击假设攻击者控制着宿主机的操作系统、虚拟机监控器和 BIOS。攻击者还需要一次短暂的现场接触来安装设备。此后，攻击由软件执行。研究团队列出了几种接触硬件的可能途径：数据中心内部人员、供应链篡改，以及被迫开放访问。[^1]

Intel 在公告中表示，这些场景超出了其标准威胁模型，也就是其机密计算技术在设计上要抵御的攻击范围。Intel 建议限制物理访问、保护供应链，并表示正在评估进一步的加固和检测方案。[^2]AMD 在安全公告中表示，该技术超出了已公布的 SEV-SNP 威胁模型。公告称，AMD 不打算为其分配通用漏洞披露（CVE）编号，也不打算发布缓解措施。[^3]研究人员表示，软件或固件更新可以提高攻击难度，但持久的解决方案需要兼具完整性和新鲜性保护的内存加密。[^1]

:::analysis
有些服务要求客户端在发送数据前先核查远程证明。研究人员在 TDX 上的结果意味着，对这类服务来说，一份有效的证明报告本身并不能排除能够物理接触服务器的运营方。因此，说这类服务能把运营方排除在外，还要看硬件的物理访问受到怎样的管控，而远程证明并不能说明这一点。
:::

:::checked
我们于 2026 年 10 月 20 日查阅了 DDRop 项目网站以及 Intel 和 AMD 的安全公告，三者的日期均为 2026 年 9 月 14 日。我们没有复现这一攻击、检查硬件设计或核实成本数字，也没有核查哪些 AI 服务使用了受影响的平台。我们不自行测试任何系统。
:::