Linux 7.4 开发树调整 AMD Zen 6 安全防护：借助 BTB 隔离减少 SafeRET 开销

据 IT之家 10 月 22 日援引 Phoronix 报道，面向 Linux 7.4 的内核开发已纳入一项 AMD Zen 6 安全缓解机制调整：利用新处理器的分支目标缓冲区（BTB）上下文隔离能力，在满足硬件条件时不再依赖开销较大的 SafeRET，以降低特定推测执行漏洞防护带来的性能成本。这并非取消安全保护，而是将部分防护职责交给硬件隔离机制。相关改动预计进入 Linux 7.4，最终版本归属仍取决于开发进度。

Zen 6 的硬件隔离如何改变内核防护

此次调整来自 Linux 7.4 的 x86/bugs 代码合并请求。来源显示，AMD 工程师 Borislav Petkov 提交的补丁已于 2026 年 9 月 1 日进入内核开发树的 x86/bugs 分支，涉及 SRSO 与 SafeRET 相关防护逻辑。

分支预测有助于处理器提前准备后续执行路径，但预测信息在不同执行环境之间产生影响，也可能成为推测执行攻击利用的入口。根据提交说明，Zen 6 的 BTB 能够按上下文标记分支预测信息，从而帮助隔离用户态与内核态、虚拟机客户机与宿主机等执行环境。

有了这一硬件基础，内核便可针对相应处理器调整缓解策略，而不必继续依赖 SafeRET 处理特定风险。关键前提是硬件具备对应能力，而不是所有 AMD 平台都能直接关闭这项措施。

• 防护路径调整：在符合条件的 Zen 6 硬件上，利用 BTB 上下文隔离减少对 SafeRET 的依赖。
• 性能目标明确：降低相关安全缓解措施的成本，但来源未提供具体性能测试或提升幅度。
• 状态报告修正：避免未启用 RETPOLINE 的内核构建错误报告 Spectre v2 防护状态。
• 发布仍有变数：开发树合入不等于稳定版已经交付，仍需关注后续版本进度。

影响解读：减少软件负担，不等于风险归零

对于关注 Linux 服务器、虚拟化平台和高负载计算的用户，这项改动体现了硬件与操作系统协同优化的方向：当处理器能够提供更明确的隔离边界，内核就有机会缩减部分软件缓解措施，避免为已有硬件能力重复支付性能成本。

不过，不能据此推导出游戏、AI 推理或其他具体应用会获得确定幅度的加速。实际收益仍需结合工作负载、内核配置及其他防护设置测试，来源并未给出相关数据。

同样需要注意，BTB 上下文隔离不代表所有推测执行攻击路径都已被封堵。此次硬件能力主要覆盖用户态与内核态、虚拟机客户机与宿主机之间的预测上下文隔离。用户进程之间、不同虚拟机之间的相关风险，仍需依靠 Spectre v2 防护设置，以及上下文切换时的间接分支预测屏障（IBPB）等机制处理。

因此，这次补丁更值得关注的不是“关闭防护”，而是内核开始依据新硬件能力细化安全策略。后续观察重点应是 Linux 7.4 的最终合入情况、防护状态报告是否准确，以及真实业务负载中的性能变化。