AMD plant Versal-Chips, die nach Manipulation der Rückseite den Start verweigern

Die am 12. November 2026 angekündigten Geräte verlagern einen Teil des physischen Schutzes in einen Chip für adaptive Datenverarbeitung, statt diese Aufgabe vollständig der umgebenden Hardware zu überlassen. Die vorgesehenen Kunden betreiben sicherheitskritische Systeme in der Verteidigung, kritischen Infrastrukturen, der Rechenzentrumsvernetzung und der Finanztechnologie – Bereiche, in denen der Schutz von Software und Netzwerkverbindungen nur einen Teil der Aufgabe ausmacht.⁠3⁠1

Die drei Geräte – 2VE3358TR, 2VE3558TR und 2VE3858TR – erweitern AMDs Familie Versal AI Edge Series Gen 2. Es handelt sich um adaptive System-on-Chip-Geräte: Sie kombinieren Prozessoren mit programmierbarer Hardware, die Kunden für bestimmte Anwendungen konfigurieren können. Das neue Unterscheidungsmerkmal ist eine Schutzschicht über der Siliziumrückseite, nicht einfach eine weitere Software-Sicherheitsfunktion.⁠1

Laut der von IT Brief Australia veröffentlichten Designbeschreibung von AMD wird ein sensorbasiertes Schutz-Die mithilfe der dreidimensionalen Active-on-Active-Technologie direkt mit dem Haupt-Computing-Die verbunden. Es soll die gesamte Rückseite abschirmen. Manipuliert oder entfernt ein Angreifer dieses Schutz-Die, soll das Gerät den Start verweigern. Die Schutzschicht ist somit Teil des Chipaufbaus und kein separates Gehäuse um ihn herum.⁠1

Damit wird eine andere Bedrohung adressiert als ein Eindringling, der über ein Netzwerk auf ein System zugreift. Ein Angreifer mit physischem Zugang kann gezielt die Hardware selbst angreifen. Betreiber kombinieren bereits Schutzgehäuse, anwendungsspezifische Chips und Schutzmaßnahmen auf Platinenebene, um sensible Informationen zu schützen; solche Kombinationen können Kosten und Designkomplexität erhöhen. AMDs Ansatz besteht darin, mehr dieser Schutzmaßnahmen in das Gerät zu integrieren, das die Datenverarbeitung übernimmt.⁠1

Die Integration könnte den Aufbau eines Systems vereinfachen. Sie belegt für sich genommen jedoch nicht, dass das fertige System günstiger oder sicherer ist als ein alternatives Design. Die Ankündigung enthält weder bezifferte Einsparungen noch einen unabhängigen Vergleich des Schutzes vollständiger Systeme. Entscheidend ist nicht, ob eine separate Komponente wegfällt, sondern ob die integrierte Abwehr dem tatsächlichen Bedrohungsmodell des Kunden gerecht wird.

AMD bezeichnet dies als den ersten integrierten Schutz vor Angriffen auf die Siliziumrückseite bei adaptiven SoC- oder FPGA-basierten Produkten. Das ist eine Unternehmensangabe zu einer bestimmten Schutzkategorie, kein Beleg dafür, dass die Geräte jeden physischen Angriff abwehren. Es bedeutet auch nicht, dass früheren Versal-Produkten Sicherheitsfunktionen fehlten: AMDs vorhandene Sicherheitsdokumentation beschreibt Abwehrmaßnahmen gegen Seitenkanalangriffe, Hardwaremanipulation, Firmwareänderungen und Diebstahl geistigen Eigentums. Die Schutzschicht auf der Rückseite erweitert diesen Ansatz.⁠3⁠7

Die angekündigten Sicherheitsänderungen betreffen außerdem kryptografische Signaturen, den Schutz von Schlüsseln und elektrische Fehlerangriffe. AMD zufolge baut das Unternehmen die Hardwarebeschleunigung für den Module-Lattice-Based Digital Signature Algorithm (ML-DSA) und den Stateless Hash-Based Digital Signature Algorithm (SLH-DSA) aus. Dies sind Post-Quanten-Algorithmen für digitale Signaturen; ihre Integration bedeutet nicht, dass der Chip Quantencomputing ausführt. Digitale Signaturen helfen, die Authentizität festzustellen.⁠1

Ein hybrider Bootvorgang unterstützt mehrere Signaturalgorithmen. Außerdem hat AMD den Schlüsselspeicher der Anwendungssicherheitseinheit aktualisiert und einen Sensor für die Alterung von Speicherelementen hinzugefügt, der einen weiteren Schutz für kryptografische Schlüssel bieten soll. Dies sind unterschiedliche Bestandteile des Sicherheitspakets und keine austauschbaren Beschreibungen des Schutzes der Chiprückseite.⁠1

Auch die Erkennung von Glitches wird erweitert. Bei Glitch-Angriffen werden elektrische Bedingungen manipuliert, um das Verhalten eines Chips zu stören. AMD zufolge aktualisiert das Design den vorhandenen Versal-Detektor und ergänzt einen zweiten, orthogonalen Detektor, der auch Glitches abdeckt, die gleichzeitig auf zwei Spannungsschienen auftreten. Das ist eine konkrete Aussage zu den Fähigkeiten – kein Nachweis dafür, dass alle denkbaren elektrischen Fehlerangriffe beseitigt wurden.⁠1

Die Computing-Architektur steht weiterhin im Zentrum des Angebots. Arm-CPUs übernehmen die allgemeine Verarbeitung, AI Engines bieten spezialisierte Rechenleistung, und die programmierbare Logik ermöglicht es Kunden, die Hardware an ihre Arbeitslasten anzupassen. Spezielle Hardwarefunktionen und Konnektivität sind ebenfalls im Gehäuse untergebracht. Diese Ressourcen erfüllen unterschiedliche Zwecke; Kapazität der programmierbaren Logik, Prozessorleistung und KI-Durchsatz sollten weder zu einer einzigen Kennzahl zusammengefasst noch mit einem gemessenen Ergebnis in der Anwendung eines Kunden verwechselt werden.⁠1⁠5

Kirk Saban, Corporate Vice President für Produkt, Software und Lösungen bei AMD Embedded, beschreibt den angestrebten Nutzen als «Unterstützung für Kunden dabei, die Entwicklung sicherheitskritischer Systeme zu vereinfachen und gleichzeitig die Leistung und Flexibilität beizubehalten, die ihre Anwendungen erfordern». Das ist das kommerzielle Argument: Schutz und erhebliche Rechenleistung in Kombination, bei geringerem Aufwand für den Aufbau des umgebenden Designs. Ob sich die Entwicklung dadurch tatsächlich vereinfachen lässt, muss sich auf Kundenebene zeigen.⁠1

Bis die geschützte Hardware verfügbar ist, gibt es einen Entwicklungsweg. Zu jedem geplanten manipulationsresistenten Modell ist bereits ein standardmäßiges, footprint-kompatibles Gegenstück aus der Familie Versal AI Edge Series Gen 2 erhältlich. Kunden können mit diesen Standardbausteinen mit der Arbeit beginnen und später auf die geschützten Versionen umsteigen.⁠1

AMD geht davon aus, dass dieser Übergang nur minimalen Aufwand erfordert und eine Wiederholung von Synthese und Place-and-Route vermeidet – den Schritten, mit denen ein programmierbares Design in seine implementierte Anordnung auf dem Chip überführt wird. Für Unternehmen mit langen Entwicklungszyklen könnte diese Kontinuität der unmittelbar nützlichste Teil der Ankündigung sein. Kompatibilität verleiht einem vorhandenen Standardgerät jedoch nicht den neuen Schutz der Chiprückseite, und die Entwicklung einer Anwendung ist nicht dasselbe wie die Prüfung dieses Schutzes.⁠1

Der nächste wichtige Meilenstein ist daher die Bemusterung, nicht die Produktion. Die zweite Jahreshälfte 2027 ist ein erwarteter Zeitraum für die ersten Geräte, kein festes Lieferdatum und keine Zusage einer allgemeinen Verfügbarkeit. Die Produktion ist für die erste Jahreshälfte 2028 geplant. Zum Zeitpunkt der Berichterstattung, auf der diese Ankündigung beruht, war keiner der beiden Meilensteine erreicht.⁠1

Die vorliegenden Belege bestätigen ein angekündigtes Design, nicht aber eine unabhängig nachgewiesene Resistenz gegen physische Angriffe oder eine TR-spezifische Zertifizierung der physischen Sicherheit. Kunden müssen noch sehen, wie sich der Schutz in einem vollständigen System bewährt. AMDs Ansatz ist bedeutsam, weil er eine physische Barriere in das Computing-Gerät integriert. Entscheidend ist, ob diese Barriere den Angriffen standhält, gegen die sich Kunden tatsächlich schützen müssen.