| 你知道吗？在你电脑的 CPU 里，还藏着一台“小电脑”，不仅文件系统、驱动、联网功能一应俱全，还能……能做的实在太多了。最可怕的是：你没法关掉它…… |
问你两个问题：
首先，你的电脑运行什么操作系统？
无非是 Windows 10、macOS，或者成百上千种 Linux 发行版的其中一个吧……
第二个问题：你的服务器，运行什么操作系统？
基本都是 Linux 吧……
但如果硅星人告诉你：你的电脑和服务器里，其实还藏着一台你根本不知道的神秘「小电脑」，运行着一个你根本不知道的神秘操作系统呢？来，搬好小板凳，开讲。
隐藏在 CPU 里的神秘「OS」
再问一个问题：你的电脑或者服务器用的什么处理器？
只要是 Mac/Windows PC/Chromebook，而且是最近几年购买的——肯定用的是英特尔的处理器，没有悬念。
而我们今天的主角，这台神秘的电脑和操作系统，就藏在英特尔处理器里。从 2006 年往后所有的英特尔处理器里，都植入了一个名叫 AMT 的技术。它的全称是：Active Management Technology（主动管理技术，也叫 ME, Management Engine）
这么一大段字，硅星人帮你长求总一下：
首先，AMT 能够让英特尔远程维护升级处理器固件，以保护计算机不在处理器这个环节被攻破。
其次，如果你被解雇了，公司 IT 可以在处理器的层级远程控制你的电脑，该锁定锁定该重置重置，确保公司资料不外泄。
那么，AMT 又是怎么实现的呢？
这是因为，处理器里本来就运行着一个名叫 MINIX (mini-Unix) 的操作系统。它的体量非常小，通常只有 5MB 左右，在处理器出厂之前就已经写了进去。
也就是说：MINIX 是世界上最流行的操作系统——比 Linux 还流行……
有了 AMT 和 MINIX，你的 CPU，其实不是你的 CPU 了。AMT 就像寄生在你电脑里的一台「小电脑」一样。
它不但不受宿主的控制，反而会控制宿主！
就像科幻电影《黑衣人》(MIB) 的这一幕：
可是，AMT 怎么就控制了我们的电脑呢？
大家都知道 Google 云计算很厉害。作为云计算行业的巨头之一，Google 都的数据中心 不是每一台都运行 TPU 啦……还是要采购非常多的英特尔处理器。
但 Google 的工程师们发现：在我们的 Linux 操作系统和处理器硬件之间，还藏着至少 2½ 个内核；这些内核不但对 Google 完全不开放，而且还很容易遭受黑客攻击，攻击还有能力重写内核本身，Google 无法修复。
在下图中，Google 的工程师描述了这 2½ 到底都包括了些什么
你会看到 Ring 这个东西。它代表的是权限层级，数字越低离用户越远、权限越高。Ring 3 是用户在操作系统上能接触的内容，比如软件或者文件；Ring 2 到 1则是驱动，Ring 0 是操作系统内核，也是用户，而且是非常有经验的用户，比如专业的 IT 人士所能触碰和修改的最低层级。
但 Ring 0 并不是重点……再往下还有 Ring -1、-2 和 -3。一般人并不知道有负数层的存在，在大部分 Ring 示意图离都根本看不到负数层，因为它们并不是开放的。
负数层都在处理器内核上。如果你刷过 Android 手机第三方内核，可能知道 CPU 核心资源是可以调整的，这个能力通常在 Ring -2 上。至于 Ring -3，权限已经非常之高了……别说你或者 IT 小哥，连电脑公司（戴尔、惠普、苹果）都触碰不到。
而 MINIX 就运行在 Ring -3 上。这里，是属于芯片厂商的「绝对领域」。
麻雀虽小，五脏俱全
这个操作系统里都装了些什么呢？Google 的工程师继续研究，发现里面东西还真不少……