AMD quita cifrado de memoria en Ryzen

AMD volvió a poner la seguridad de Ryzen bajo la lupa, y esta vez no por una vulnerabilidad clásica ni por un parche de microcódigo. El problema es más incómodo: una función de cifrado de memoria que estaba disponible en ciertos procesadores de consumo dejó de estarlo después de actualizar firmware con nuevas versiones de AGESA. En otras palabras, puedes pasar de tener una protección activa a no tenerla, sin que el sistema te lo explique de forma clara.

El caso importa porque no estamos hablando de servidores caros o equipos de laboratorio. Hablamos de PCs de escritorio y laptops con Ryzen que terminan en casa, en oficinas pequeñas, en agencias, en universidades y en equipos de trabajo remoto en toda Latinoamérica. Si tú actualizas BIOS para corregir compatibilidad, estabilidad o soporte de memoria, lo último que esperas es perder una capa de seguridad sin un aviso visible.

Qué cambió en Ryzen y por qué importa

La noticia que detonó la discusión es simple de resumir: AMD habría retirado silenciosamente una función de cifrado de memoria en CPUs Ryzen de consumo después de ciertas actualizaciones de firmware basadas en AGESA. Tom’s Hardware reportó el cambio y señaló que, al preguntar a AMD, los ingenieros no dieron una explicación pública clara sobre el motivo ni sobre el alcance exacto. Puedes revisar el reporte original aquí: https://www.tomshardware.com/pc-components/cpus/amd-silently-removes-memory-encryption-from-consumer-ryzen-cpus-leaving-users-unaware-that-they-may-be-vulnerable-security-feature-vanishes-after-newer-agesa-firmware-amd-engineers-go-radio-silent-when-pressed-about-the-change

La parte delicada no es solo que una función desaparezca. Es que desaparezca sin una advertencia visible para el usuario final y sin una nota de cambio suficientemente clara en el flujo normal de actualización. Si tú administras una PC para trabajo sensible, o si simplemente asumías que tu Ryzen tenía una protección de memoria activa, ahora toca revisar esa suposición.

Qué es AGESA y por qué te debería importar

AGESA es el bloque de código base que AMD entrega a los fabricantes de placas madre para inicializar CPU, memoria y otros componentes en el arranque. Cuando una BIOS nueva incluye un AGESA más reciente, puede traer soporte para nuevos procesadores, correcciones de estabilidad, cambios de compatibilidad con RAM y ajustes de seguridad.

El punto es que para el usuario común AGESA suele ser invisible. Tú ves una versión de BIOS, presionas actualizar y esperas mejoras. Pero en la práctica, esas versiones pueden cambiar funciones internas que no aparecen en una lista amigable de “novedades”. Si una protección como el cifrado de memoria se desactiva o se retira, eso afecta la postura de seguridad del sistema aunque el equipo siga arrancando normal.

Por qué el cifrado de memoria no es un detalle menor

El cifrado de memoria busca dificultar ataques que intentan leer datos directamente desde la RAM, por ejemplo mediante acceso físico al equipo, herramientas de diagnóstico avanzadas o escenarios de arranque en frío. No es una barrera mágica, pero sí agrega una capa útil para proteger secretos de sesión, credenciales temporales y datos en tránsito dentro del sistema.

Si esa capa desaparece en un equipo de consumo, el riesgo depende del uso. En un PC doméstico sin datos sensibles, el impacto puede ser limitado. En una máquina de trabajo con claves, tokens, acceso a VPN corporativa o información de clientes, el cambio sí pesa. Y si tu política de seguridad asumía que la memoria estaba protegida, necesitas corregir esa base.

Qué equipos podrían verse afectados

No todos los Ryzen entran en el mismo saco. El problema, según lo reportado, afecta a CPUs de consumo y a ciertas combinaciones de firmware más reciente. Eso significa que el impacto real depende de tres cosas: el modelo exacto de procesador, la placa madre y la versión de BIOS o AGESA instalada.

Aquí conviene ser preciso. No basta con decir “tengo un Ryzen”. Hay que mirar el modelo, la fecha de la BIOS y, si el fabricante lo publica, el changelog de la versión. En placas AM4 y AM5, los fabricantes suelen empaquetar distintos cambios en una sola actualización, así que una mejora de compatibilidad puede venir acompañada de un ajuste de seguridad que no siempre se explica con detalle.

En equipos de oficina, el caso merece atención aunque no seas administrador de TI. Muchas veces el usuario actualiza BIOS para corregir un problema de RAM o para soportar un SSD nuevo, y nadie vuelve a revisar si cambió algo en seguridad. Si tu equipo maneja información de clientes, documentos legales, bases de datos locales o credenciales de acceso, ese descuido ya no es menor.

Qué puedes comprobar ahora mismo

Antes de entrar en pánico, conviene verificar si tu máquina realmente está afectada. No hace falta desmontar nada ni instalar herramientas raras. Puedes empezar por revisar la versión de BIOS desde el propio firmware o desde el sistema operativo, y luego contrastarla con la página oficial de tu placa madre.

Si quieres ir un paso más allá, también puedes consultar la documentación del fabricante de la placa y la de AMD para confirmar qué opciones de seguridad están disponibles en tu plataforma. AMD publica documentación general sobre tecnologías de seguridad y plataformas en su sitio oficial: https://www.amd.com/en/developer/resources/technical-docs

Pasos rápidos para revisar tu equipo

1. Entra a la BIOS/UEFI y anota la versión exacta instalada.
2. Revisa el changelog del fabricante de tu placa madre.
3. Busca si la actualización menciona AGESA, seguridad, memoria o compatibilidad de CPU.
4. Comprueba si tu sistema usa BitLocker, TPM y Secure Boot.
5. Si el equipo es crítico, compara el comportamiento antes y después de la actualización.
6. Si no necesitas la BIOS nueva, evita actualizar solo por inercia.

En Windows también puedes usar herramientas de diagnóstico para ver datos básicos del firmware. En Linux, comandos como dmidecode o sudo fwupdmgr get-devices pueden ayudarte a identificar versiones, aunque el detalle exacto depende de la placa y del soporte del fabricante. El objetivo no es convertirte en técnico de laboratorio, sino saber si cambió algo que afecta tu seguridad.

Señales de que debes prestar más atención

Hay escenarios donde este tema sí merece prioridad. Si tu PC almacena llaves de acceso, trabaja con VPN corporativa, usa credenciales de desarrollador, o ejecuta máquinas virtuales con datos de terceros, perder cifrado de memoria puede aumentar la superficie de ataque. También importa si el equipo está en un entorno donde otra persona podría tener acceso físico, aunque sea por poco tiempo.

En cambio, si tu equipo solo sirve para navegar, jugar y editar fotos personales, el riesgo existe pero es más limitado. Aun así, conviene saber qué cambió, porque la seguridad no debería degradarse sin que tú lo notes. Eso aplica tanto para una torre en Quito como para una laptop de trabajo en Lima, Bogotá o Ciudad de México.

Qué significa esto para la seguridad real

La discusión no es académica. Cuando un fabricante quita una protección, la pregunta útil no es si el sistema sigue encendiendo, sino qué amenaza quedó más fácil de explotar. El cifrado de memoria no protege contra todo, pero sí complica ataques que dependen de extraer datos directamente de la RAM o de analizar su contenido fuera del entorno normal del sistema.

En un equipo de consumo, ese tipo de ataque no es el más común. Pero tampoco es ciencia ficción. Piensa en un portátil robado en un coworking, en una PC de oficina con acceso físico ocasional, o en una máquina que se usa para desarrollo y contiene tokens de acceso, claves SSH o sesiones abiertas. Ahí cada capa cuenta.

AMD tiene otras tecnologías de seguridad en su ecosistema, como Secure Processor, fTPM y funciones de virtualización asistida. Pero no todas reemplazan el cifrado de memoria de la misma forma. Una cosa es proteger el arranque o la integridad del TPM, y otra distinta es cifrar lo que vive en RAM mientras el sistema está funcionando.

Lo que no debes asumir

No asumas que una actualización de BIOS solo corrige fallos. Tampoco asumas que un nombre comercial de plataforma garantiza una protección concreta en todas las revisiones de firmware. Y no asumas que porque tu placa madre dice “compatible” todo sigue igual debajo del capó.

Ese es el problema de fondo: muchos usuarios compran hardware con una idea general de seguridad, pero rara vez revisan las notas de firmware. En servidores eso se audita; en consumo, casi nunca. Por eso la retirada silenciosa de una función de cifrado de memoria pega más fuerte de lo que parece.

Qué debería hacer AMD y qué puedes exigir tú

La primera expectativa razonable es transparencia. Si una función desaparece por razones técnicas, de compatibilidad o de producto, eso debería aparecer en notas de versión claras y visibles. No hace falta convertir cada BIOS en un manual de 40 páginas, pero sí dejar claro cuando una actualización elimina una capacidad de seguridad.

La segunda expectativa es consistencia. Si la función existía en ciertas generaciones de Ryzen de consumo, el usuario debería poder saber en qué versiones sigue disponible y en cuáles no. Eso no solo ayuda a consumidores, también ayuda a técnicos, ensambladores y administradores de TI que necesitan tomar decisiones informadas.

La tercera expectativa es documentación. La seguridad moderna depende de entender qué hace cada capa. Si AMD cambia el comportamiento de una función, la documentación oficial debería reflejarlo sin ambigüedades. Hasta que eso ocurra, toca verificar caso por caso y no confiar en supuestos antiguos.

Si administras varios equipos, haz esto

• Crea un inventario con modelo de CPU, placa madre y versión de BIOS.
• Marca qué equipos manejan datos sensibles o acceso remoto.
• Revisa si alguna actualización reciente cambió AGESA.
• Define una política de actualización: cuándo sí y cuándo no.
• Guarda una copia de las notas de firmware antes de aplicar cambios.

Esto puede sonar básico, pero en muchos entornos no existe ni siquiera una lista centralizada de BIOS instaladas. Si tú llevas una red pequeña, una oficina o el parque de PCs de una familia, ordenar esa información te ahorra sorpresas. Y en seguridad, las sorpresas casi siempre salen caras.

Tabla resumen

La retirada silenciosa del cifrado de memoria en Ryzen deja una lección bastante clara: la seguridad de tu PC no termina en el procesador que compraste, sino en el firmware que le instalas después. Si actualizas BIOS sin revisar qué cambia, puedes perder funciones que dabas por sentadas.

Y si tu equipo maneja información sensible, ese detalle sí merece una revisión seria. No para entrar en paranoia, sino para volver a mirar algo básico: qué protecciones siguen activas y cuáles ya no están ahí.