BHI 属于推测执行类攻击面，攻击者可借助分支历史影响后续执行路径，内核在 2022 年前后引入对应缓解机制，包括硬件微码特性 BHI_DIS_S 与软件侧的 BHB 清除序列。问题出在缓解方式的选择逻辑上。

按修复描述，选择函数 bhi_select_mitigation() 只在 CPU_MITIGATE_GUEST_HOST 置位时启用 BHI 防护，其余情况一律关闭，即使代表用户态与内核态隔离的 CPU_MITIGATE_USER_KERNEL 仍然置位也不例外。结果是：为容器节点、无虚拟机或裁剪配置构建、未编译 KVM 的内核，恰恰在需要防护的场景里失去了防护。使用启动参数 mitigations=auto,no_guest_host 可以复现这一行为。该修复随本周的 x86 fixes 拉取在 7.4-rc2 之前合入主线，并标记回溯至自 2022 年引入 BHI 支持以来的各受支持内核版本。

对企业 IT 的意义

这类缺陷的主要暴露面是自建内核与裁剪配置：面向容器、嵌入式或实时场景的镜像常常关闭 KVM，而缓解逻辑过去恰好依赖该标志。建议安全基线在核对补丁之外增加一步运行时验证，确认缓解状态在受影响机型上确实生效，并把内核启动参数与配置变更纳入记录，避免性能调优时以关闭虚拟机侧缓解的选项顺带削弱防护。

来源：Phoronix，原文。