AMD、裏面の改ざん後に起動を阻止するVersalチップを計画

2026年11月12日に発表されたこのデバイスは、物理的な保護の一層を、周辺ハードウェアだけに担わせるのではなく、アダプティブ・コンピューティング・チップに組み込む。想定される顧客は、防衛、重要インフラ、データセンター・ネットワーキング、金融テクノロジーなど、セキュリティが極めて重要なシステムを運用する組織だ。こうした領域では、ソフトウェアとネットワーク接続を保護するだけでは不十分だ。⁠3⁠1

2VE3358TR、2VE3558TR、2VE3858TRの3製品は、AMDのVersal AI Edge Series Gen 2ファミリーを拡充する。これらはアダプティブSoCデバイスで、プロセッサーと、顧客が特定の用途に合わせて構成できるプログラマブル・ハードウェアを組み合わせている。新たな特徴はシリコン裏面を覆う保護層であり、単なるソフトウェア・セキュリティ機能の追加ではない。⁠1

IT Brief Australiaが報じたAMDの設計説明によると、センサーを備えた保護ダイが、3次元アクティブ・オン・アクティブ技術を通じてメインのコンピューティング・ダイに直接接合される。裏面全体を保護することを目的としている。攻撃者が保護ダイに手を加えたり、取り外したりした場合、デバイスは起動を拒否するよう設計されている。したがって、この保護層はデバイスを囲む別個の筐体ではなく、チップの構造の一部だ。⁠1

これは、侵入者がネットワーク経由でシステムに到達する脅威とは別のものに対処する。物理的にアクセスできる攻撃者は、ハードウェアそのものを標的にできる。事業者は、機密情報を守るために保護筐体、特定用途向けチップ、基板レベルの保護策を組み合わせて使っているが、そうした組み合わせはコストと設計の複雑さを増すことがある。AMDの提案は、その保護機能の多くを、演算を担うデバイスに組み込むことだ。⁠1

統合によってシステムの構築は簡素化される可能性がある。しかし、それだけで完成したシステムが代替設計より安価、または安全だと証明されるわけではない。発表には、定量化されたコスト削減額も、システム全体の保護を独立に比較した結果も示されていない。問うべきなのは、別個の部品がなくなるかどうかではなく、統合された防御が顧客の実際の脅威モデルを満たすかどうかだ。

AMDはこれを、アダプティブSoCまたはFPGAベース製品における初のシリコン裏面攻撃保護の内蔵だとしている。これは特定カテゴリーの保護に関する同社の主張であり、デバイスがあらゆる物理攻撃を防ぐ証拠ではない。また、従来のVersal製品にセキュリティ機能がなかったという意味でもない。AMDの既存のセキュリティ文書には、サイドチャネル攻撃、ハードウェアのタンパリング、ファームウェアの改変、知的財産の窃取に対する防御が記載されている。裏面層はその取り組みを拡張するものだ。⁠3⁠7

発表されたセキュリティ上の変更は、暗号署名、鍵の保護、電気的なフォールト攻撃にも及ぶ。AMDによると、モジュール格子ベースデジタル署名アルゴリズム（ML-DSA）とステートレス・ハッシュベースデジタル署名アルゴリズム（SLH-DSA）のハードウェア・アクセラレーションを拡張する。これらは耐量子デジタル署名アルゴリズムであり、チップが量子コンピューティングを実行するという意味ではない。デジタル署名は真正性の確認に役立つ。⁠1

ハイブリッド・ブートフローでは、複数の署名アルゴリズムを利用できる。AMDはアプリケーション・セキュリティ・ユニットのキーボルトも更新し、暗号鍵をさらに保護することを意図したメモリー素子の経年劣化センサーを追加した。これらはセキュリティ・パッケージの別個の要素であり、裏面保護を言い換えたものではない。⁠1

グリッチ検出も拡張される。グリッチ攻撃は電気的条件を操作し、チップの動作を妨害する。AMDによると、設計更新では既存のVersal検出器を改良するとともに、独立した第2の検出器を追加し、2つの電圧レールで同時に発生するグリッチも対象にする。これは具体的な機能についての主張であり、あらゆる電気的フォールト攻撃を排除したとの実証ではない。⁠1

コンピューティング・アーキテクチャは、引き続き製品の中核的な訴求点だ。Arm CPUが汎用処理を担い、AIエンジンが特化型演算を行い、プログラマブル・ロジックによって顧客はハードウェアを各自のワークロードに合わせられる。専用ハードウェア機能と接続機能も同じパッケージに搭載される。これらのリソースはそれぞれ異なる目的を持つ。プログラマブル・ロジックの容量、プロセッサー性能、AIスループットを一つのスコアにまとめたり、顧客のアプリケーションで測定された結果とみなしたりすべきではない。⁠1⁠5

AMD Embeddedで製品、ソフトウェア、ソリューション担当コーポレート・バイスプレジデントを務めるカーク・サバン氏は、期待される利点を「顧客が、アプリケーションに求められる性能と柔軟性を維持しながら、セキュリティが極めて重要なシステムの開発を簡素化できるよう支援すること」と説明する。これが商業面での主張だ。保護と高いコンピューティング能力を組み合わせ、周辺設計を組み立てる作業を減らす。実際に簡素化を実現するかどうかは、顧客が判断することになる。⁠1

保護機能を備えたハードウェアが登場する前にも、開発の道筋はある。耐タンパー性モデルとして計画されている各製品には、Versal AI Edge Series Gen 2ファミリーに、フットプリント互換の標準モデルがすでに用意されている。顧客はそうした標準品で作業を始め、後に保護機能付きモデルへ移行できる。⁠1

AMDは、この移行に必要な労力は最小限で、シンセシスや配置配線をやり直す必要もないと見込んでいる。これらは、プログラマブル設計をチップ上の実装構成へ変換する工程だ。開発サイクルが長い組織にとって、こうした継続性は発表内容の中で最もすぐに役立つ要素かもしれない。しかし、互換性があっても、既存の標準デバイスに新たな裏面保護が備わるわけではない。また、アプリケーションの開発は、その保護機能のテストとは異なる。⁠1

したがって、次の重要な節目は生産ではなくサンプル提供だ。2027年後半は初期デバイスが登場する見込みの時期であり、確定した納入日や一般販売の約束ではない。生産は2028年前半を予定している。この発表を裏付ける報道の時点では、いずれの節目にも達していない。⁠1

確認できるのは発表された設計であり、物理攻撃への耐性が独立に実証されたことでも、TR固有の物理セキュリティ認証を取得したことでもない。顧客は、完成したシステムで保護機能がどう働くかを確認する必要がある。物理的な障壁をコンピューティング・デバイスの内部に設けるというAMDの構想は重要だ。その障壁が、顧客が実際に耐える必要のある攻撃に対して機能するかが問われる。