AREX Feed Article
AMD 宣布第五代 EPYC 成为 Google Cloud TPU 8tx 主机 CPU，官方称其为首个具备硬件强制机密计算的云 TPU 系统
美东时间 11 月 9 日（周一）上午 8 时，AMD 发布新闻稿，宣布第五代 EPYC 服务器处理器为 Google Cloud TPU 8tx 提供主机基础设施，并称 TPU 8tx 是首个具备硬件强制机密计算（hardware-enforced confidential computing）的云 TPU 系统；Google Cloud AI 与计算基础设施副总裁兼总经理 Mark Lohmeyer 在新闻稿引言中确认了这次合作（）。
同日，Google 在官方博客给出对应表述：TPU 8tx 由 5th Generation AMD EPYC CPU 主机承载，面向要把最敏感数据放上云端的受监管企业与政府（）。AMD 还在新闻稿中给出采用口径：EPYC 已是超过 10 家领先超大规模厂商（hyperscalers）与前沿 AI 实验室的主机 CPU 之选；这一数字为 AMD 自述，新闻稿未列出具体厂商名单，两家公司公布的性能数字同样属厂商自述口径。
公告细节：EPYC 性能、Infinity Guard 与 x86 兼容性组合 TPU 加速
这份发自加州圣克拉拉、由 Globe Newswire 分发的新闻稿给出的组合是：EPYC CPU 的性能、内存带宽与 I/O，AMD Infinity Guard 安全能力，加上 x86 软件兼容性，与 Google Cloud TPU 的 AI 加速配合，帮助企业部署推理、微调（fine-tuning）和强化学习工作负载。
Lohmeyer 的引言把动机指向正在进入生产的 AI 代理：「当团队把 AI 代理投入生产时，他们需要确信自己的数据和知识产权保持私密——甚至对底层基础设施也是如此。把第五代 AMD EPYC 处理器与 AI Hypercomputer 中我们的第八代 TPU 架构配对，我们首次把硬件强制的机密计算带到云 TPU 上。客户将获得硅级的数据保护，以及现代推理模型所需的低时延性能。」
AMD 计算与企业 AI 业务高级副总裁兼总经理 Dan McNamara 则强调 CPU 侧的多年积累：「最具能力的 AI 系统需要能与所承载加速器要求相匹配的 CPU 基础。」他说，EPYC 各代在性能、内存带宽和 I/O 上建立的能力，背后是与全球领先云提供商多年的工程协作。
行业媒体 Network World 的报道也称，TPU 8tx 是 Google Cloud 首款具备机密计算能力的 TPU，由 Google 与 AMD 合作实现。Lohmeyer 在媒体吹风会上说：「你不该在安全和性能之间做取舍」（）。
保护如何延伸：SEV 在授权前验证加速器身份，数据全程加密
按 AMD 新闻稿的描述，在 TPU 8tx 系统里，第五代 EPYC 负责工作负载编排、数据准备，以及与 TPU 加速器之间的高吞吐通信。系统使用 EPYC CPU 中的 AMD 安全加密虚拟化（Secure Encrypted Virtualization，SEV）能力，与 TPU 一起把机密计算保护从 CPU 扩展到连接的加速器。
流程的关键一步发生在授权之前：系统先验证加速器的身份与安全配置，然后才授予它直接访问受保护内存的权限。此后，客户的提示词、模型权重和中间数据在 CPU 内存中、以及主机与加速器之间的传输中保持加密，加速器执行期间由硬件隔离。AMD 称这套保护面向推理与代理式（agentic）AI 应用。
Google 官方博客解释了这套设计要解决的问题：数据在存储和跨网络传输时通常加密，但计算机处理它时必须在内存中解锁；TPU 8tx 把安全直接建进硬件层，敏感数据和模型权重即便在活跃使用中也保持受保护、被隔离。
AMD 同时指出，这次合作有存量基础：Google Cloud 现有的 Confidential VMs、Confidential GKE、Confidential Space、Confidential Managed Service for Apache Spark 和 Confidential Dataflow 本来就靠 AMD SEV 保护工作负载，TPU 8tx 把协作延伸到机密 AI 加速。两家公司的合作已跨数代 EPYC，Google Cloud 现有的 C4D、N4D、H4D、Z4D 与 G4 虚拟机由 EPYC 支撑；在公司层面的安全技术上，Google 安全专家还对 AMD 安全处理器固件做过深度审查。
新闻稿脚注保留了一个限制：Infinity Guard 各项功能因 EPYC 代际与系列而异，必须由服务器 OEM 或云服务商启用才能生效。
TPU 8tx 本体：复用 TPU 8t 硅片，改配低时延网络，明年上市
Google 官方博客把 TPU 8tx 放在第八代产品线的第三个位置：为安全机密推理优化，也能胜任小规模训练。它与 TPU 8t 用同一款硅片，网络换成 Google 为实时推理打造的 Boardfly 低时延网络。Google 称，8tx 的时延最高比 TPU 8t 低一半，性能损失接近于零。
同一条网络让 8tx 多了一个用法：训练级算力配快速推理网络，团队可以在同一个系统里用私有数据微调模型、把大模型蒸馏成小模型、用强化学习训练代理，不必把敏感数据在集群之间迁移。
第八代产品线的另外两个系统来自今年 4 月的 Cloud Next 大会：8t 面向大规模训练，8i 面向实时推理，按 Google 自述分别比上一代有最高 2.7 倍的训练性能提升和 80% 的推理性价比提升。加上 11 月 9 日发布的 8tx 和把两颗 8i 芯片封装在一起的 8i Max，这是 Google 第一次在一年内推出四个 TPU 系统。Google 称 TPU 业务已有近 100 家客户，包括前沿实验室、交易公司、零售商和大学。
上市日期没有出现在 Google 的博客帖子中。Google 芯片业务负责人 Amin Vahdat 告诉 Bloomberg，这些新变体明年上市（）。Bloomberg Intelligence 估计，TPU 销售额（含相关软硬件）2028 年将超过 1,350 亿美元，今年约 120 亿美元；Google 也在财报中称，其所有可用 TPU 都已被客户合同锁定。
主机 CPU 的角色：EPYC 覆盖 Instinct、Nvidia 与定制芯片系统
TPU 8tx 之外，这份新闻稿还给了 EPYC 一个更广的定位：随着超大规模厂商、前沿实验室和模型提供商把 AI 基础设施越做越专用，CPU 选型仍是系统性能与部署的核心，因为加速器依赖主机处理器供给数据、调度工作、把 AI 负载与周围的应用服务连接起来。AMD 称，EPYC 的这一角色同时覆盖使用 AMD Instinct GPU、Nvidia GPU 和定制芯片的系统，以及定制 AI 加速器 ASIC 系统。
作为背景，第五代 EPYC（9005 系列，代号 Turin）于 2024 年 10 月 10 日在 AMD Advancing AI 2024 活动上发布，采用 Zen 5 架构，旗舰型号 EPYC 9965 最高 192 核心、500W TDP（）。
资本市场对周一的消息反应直接：据 Investor's Business Daily 报道，AMD 股价当天上涨（）。
独立测试缺位：远程验证设计、价格与可用区尚无公开答案
技术评论 newsletter beri.net 在公告当天发表的分析提醒：迄今公开报道中没有对 TPU 8tx 或 8i Max 的独立测试，所有性能数字都是 Google 的口径（）。beri.net 还注意到措辞差异：AMD 新闻稿从头到尾没有用 attestation（远程验证）一词，而 Network World 引用 Lohmeyer 的话说「整个系统都会被验证（attested），这样我们知道它就是它声称的东西」。按 beri.net 的定义，远程验证指签名的硬件证据，用于在把模型密钥等机密交给机器之前，核对机器上到底运行着什么。
beri.net 认为，安全团队在签字之前至少要问清五件事：由谁验证证据、能否不依赖 Google 服务完成验证；TPU 是否出具独立于 CPU 报告的验证证据；AMD 所说的 SEV 是哪一代、是否包含 SEV-SNP 的内存完整性保护；TPU 上的 HBM 与芯片间链路是否加密；加密模型权重的密钥由谁保管。这些问题的答案都没有出现在 AMD 新闻稿里。
文档层面同样有含糊之处。beri.net 引用 Google 自己的页面指出：Confidential VM 文档写着「你不能把 TPU 挂到 Confidential VM 实例上」，而 TPU 机型文档把 v6e 标为支持机密计算；Google 今年 4 月曾表示 8t 和 8i 将于「年内正式可用（GA）」，但截至 11 月 9 日，Compute Engine 的 TPU 机型文档仍只列出 TPU7x（Ironwood）、v6e 和 v5p。
beri.net 指出，眼下买方能立即部署的机密推理选项仍在 GPU 一侧：其引用 Google 文档称，Confidential G4（RTX PRO 6000）自 10 月 21 日起已在 36 个可用区正式可用；其引用的一项 arXiv 研究测得 H100 机密计算带来 4%～8% 的吞吐损失，Google 自报 Confidential G4 的损失低于 3.5%，而 TPU 没有对应的公开数字。beri.net 还援引 Nvidia 的发布称，Vera Rubin NVL72 面向机架级可信执行环境，已有 11 家云厂商采用 Nvidia 的机密计算，Google 不在这份名单上。
beri.net 给买方的建议是：在拿到书面日期和可用区之前，不要把 8tx 计入 2027 年容量规划，并把远程验证证据的验收测试写进采购条件。截至发稿，TPU 8tx 的价格、可用区与远程验证设计尚未公布，TPU 机密模式的性能开销也还没有公开数字。