Linux 7.4 incorpora o Dynamic PAMT do Intel TDX para economizar RAM em servidores

O Linux 7.4 incorporou o Dynamic PAMT, informou o Phoronix em 20 de outubro de 2026. O recurso da Intel permite que servidores que rodam máquinas virtuais confidenciais deixem de reservar uma fatia fixa de memória na inicialização. Hoje essa fatia é de cerca de 0,4% da RAM do sistema. Ela é paga quer a máquina rode uma VM protegida, quer não rode nenhuma. Com os preços de memória em alta, devolver essa RAM ao trabalho comum importa para quem opera grandes servidores Intel.

O que são TDX e PAMT

TDX, sigla de Trust Domain Extensions, é a forma da Intel de rodar máquinas virtuais confidenciais. Uma VM confidencial mantém sua memória criptografada e oculta até mesmo do sistema host que a executa. A ideia é que os dados de um cliente continuem privados até mesmo para quem opera o hardware.

Para cumprir essa promessa, o módulo TDX rastreia cada página de memória da máquina. Uma página é o pequeno bloco, geralmente de 4KB, em que o sistema gerencia a memória. Os dados de rastreamento ficam na Physical Address Metadata Table, ou PAMT.

Até agora, o Linux alocava a PAMT inteira quando o TDX iniciava. “Essas alocações estáticas ocupam cerca de 0,4% da memória do sistema”, escreveu Rick Edgecombe na mensagem de apresentação da série de patches. Dave Hansen foi mais direto no pull request citado pelo Phoronix: “É tudo ou nada; ou você paga os 0,4% ou não pode usar o TDX.”

O que muda com o Dynamic PAMT

O Dynamic PAMT aloca a parte mais detalhada da tabela só quando ela é necessária. A PAMT tem três níveis, correspondentes a blocos de memória de 1GB, 2MB e 4KB. Os níveis de 1GB e 2MB continuam sendo configurados na inicialização. O nível de 4KB, que rastreia as menores páginas, agora é preenchido em tempo de execução, segundo as notas do patch.

Detalhe	Antes do Linux 7.4	Com o Dynamic PAMT
Quando a tabela do nível de 4KB é alocada	Toda de uma vez, quando o TDX inicia	Sob demanda, 2MB de memória do host por vez
Memória reservada	Cerca de 0,4% da RAM, sempre	Cresce com o uso real do TDX
Padrão	Não se aplica	Ativado sempre que o módulo TDX informa suporte
Custo no tamanho do kernel	Nenhum	2KB quando o TDX está embutido

A economia é maior quando poucas VMs confidenciais estão rodando. “A economia varia conforme o sistema e o uso do TDX, mas pode chegar a 100 vezes”, escreveu Edgecombe.

Há um porém em algumas máquinas. O Dynamic PAMT precisa de contagens de referência, pequenos contadores que rastreiam quanto cada região está em uso. Elas custam 2MB por 1TB de espaço de endereçamento, com um pior caso de 8GB em sistemas com espaço de endereçamento de 52 bits. Em plataformas esparsas com pouca memória, alertam as notas do patch, a sobrecarga pode até superar a economia.

Como chegou ao kernel

A série passou por 11 versões. A versão 11, publicada em 4 de setembro de 2026, removeu principalmente um parâmetro do kernel. Kiryl Shutsemau foi coautor de dois de seus patches. Até 7 de setembro, o trabalho já estava na fila do branch x86/tdx da árvore tip, uma área de preparação para mudanças de x86, informou o Phoronix na época.

O commit que ativa o recurso explica o padrão de forma direta: “A economia de memória do DPAMT é significativa o bastante para torná-lo uma boa configuração padrão.”

O mesmo pull request do TDX corrige um segundo limite. As quotes, os relatórios assinados que uma VM confidencial usa para provar o que está executando, estavam presas a buffers de 128KB. “Esses buffers de 128k são pequenos demais para a criptografia pós-quântica, em que as quotes crescem substancialmente”, escreveu Hansen. O módulo TDX agora pode informar o tamanho de buffer de que precisa, e o Linux 7.4 dá suporte a isso.

O Linux 7.4 também reúne outras mudanças neste ciclo, incluindo uma nova flag TAINT_FORCED_BIND para binds forçados de drivers.

O que isso significa para desenvolvedores

A maior parte disso chega sem nenhuma ação, mas quem opera hosts TDX deve se planejar.

• Meça de novo a memória do host após a atualização. Em hosts TDX pouco usados, o Linux 7.4 deve liberar memória que antes ficava reservada. Verifique o que o seu monitoramento informa e então decida se vai aumentar a densidade de VMs.
• Verifique a versão do seu módulo TDX. O Dynamic PAMT só é ativado quando o módulo TDX, o componente de firmware da Intel, informa que tem suporte a ele. Um módulo mais antigo mantém o custo estático de 0,4%.
• Teste máquinas pequenas ou esparsas. Segundo as notas do patch, nelas a sobrecarga das contagens de referência pode superar a economia. Compare o uso de memória antes e depois nesse hardware.
• Acompanhe a atestação pós-quântica. Os buffers de quote maiores preparam o TDX para assinaturas pós-quânticas. Equipes que verificam relatórios de atestação devem confirmar que suas ferramentas aceitam quotes maiores.