SCI Semiconductor lève 5 M£ pour industrialiser ses puces ICENI à sécurité mémoire

SCI Semiconductor vient de réunir 5 millions de livres sterling pour faire passer ses puces ICENI du premier silicium à une production plus large. Le pari de l’entreprise britannique est simple : plutôt que de corriger après coup chaque erreur de gestion de mémoire dans les logiciels, empêcher matériellement certaines d’entre elles de devenir exploitables. 36

Un financement pour passer à l’échelle

Ce tour de table, annoncé comme sursouscrit, a été mené par PXN Ventures et Mercia Ventures, gestionnaires de fonds du Northern Powerhouse Investment Fund II, un dispositif britannique de financement des entreprises du nord de l’Angleterre. Osney Capital, investisseur spécialisé dans la cybersécurité, Black Opal Ventures, basé aux États-Unis, ainsi que des investisseurs privés ont également participé. 36

SCI Semiconductor entend employer ce capital à accroître la production d’ICENI pour répondre à la demande, tout en développant une puce de nouvelle génération. La société affirme avoir déjà fabriqué ses premiers composants et enregistré plus de 2 M£ de commandes. Elle fait aussi état de 7,7 M£ de contrats publics et de partenariats avec Google Research et Microsoft. 612

Ces indicateurs témoignent d’une activité commerciale initiale. La véritable étape suivante sera toutefois l’adoption durable : les clients devront pouvoir associer le matériel, les outils de développement et les applications dans des systèmes réellement déployés.

ICENI : la sécurité mémoire intégrée à l’architecture

ICENI repose sur CHERI, une architecture informatique fondée sur les « capacités », issue de travaux de recherche soutenus au Royaume-Uni. CHERI emploie des pointeurs sécurisés et le cloisonnement de la mémoire afin de contrôler les accès des logiciels à celle-ci. Le gouvernement britannique présente cette approche comme une sécurité « dès la conception », destinée à renforcer la protection des systèmes et à éliminer de nombreuses vulnérabilités courantes liées à la mémoire.

Concrètement, cette architecture vise à rendre plus difficiles à exploiter des erreurs telles qu’un accès hors des limites autorisées de la mémoire. La différence est importante : les contrôles ne reposent plus uniquement sur des vérifications logicielles ajoutées après l’écriture ou le déploiement du code.

L’enjeu est considérable. Selon des travaux de Google et Microsoft cités par les autorités britanniques, les bogues de sécurité mémoire représenteraient 70 % des vulnérabilités de cybersécurité persistantes.

Un sujet de cybersécurité, mais aussi de fiabilité opérationnelle

Les erreurs mémoire ne sont pas qu’une question théorique ou une voie d’attaque potentielle : elles peuvent provoquer des incidents majeurs de disponibilité. La panne mondiale liée à CrowdStrike en juillet 2024 n’était pas une cyberattaque. Toutefois, l’analyse technique de la cause racine publiée par l’entreprise a établi qu’une lecture hors limites latente dans son interpréteur de contenu avait contribué aux plantages, après le déploiement d’une mise à jour problématique.

Cela ne signifie pas qu’une architecture fondée sur CHERI aurait empêché tous les facteurs de cet incident. L’épisode illustre en revanche l’intérêt de réduire des catégories entières de bogues, plutôt que de dépendre exclusivement de leur détection et de leur correction après la mise en production.

Le National Cyber Security Centre britannique (NCSC) défend une logique comparable : les vulnérabilités de sécurité mémoire restent fréquentes et une conception sécurisée peut alléger la charge continue des correctifs et de la réponse aux incidents. Le NCSC rappelle néanmoins que l’application des mises à jour demeure indispensable, en particulier pour les systèmes critiques ou exposés.

Ce que CHERI peut réduire — et ce qu’il ne remplace pas

Des limites mémoire imposées par le matériel peuvent diminuer la probabilité ou l’impact de certaines failles de corruption mémoire. C’est particulièrement pertinent pour des produits dont la durée de support est longue ou pour des environnements où une défaillance entraîne de lourdes conséquences opérationnelles.

Mais la sécurité mémoire ne constitue qu’une couche de défense. Un matériel basé sur CHERI ne règle pas les défauts de gestion des identités et des accès, les processus de mise à jour insuffisamment sécurisés, les erreurs de configuration, l’ingénierie sociale, les risques de chaîne d’approvisionnement ou les erreurs de logique applicative.

Les organisations doivent donc toujours combiner développement sécurisé, tests, supervision, gestion des vulnérabilités et mises à jour rapides. Pour SCI Semiconductor, l’enjeu commercial dépasse ainsi la performance de la puce : il faudra démontrer que les clients peuvent intégrer du matériel et des logiciels compatibles avec CHERI sans coût, problème de compatibilité ou compromis de développement rédhibitoire.

Ce que change le Cyber Resilience Act européen

Depuis le 11 septembre 2026, les obligations de signalement du Cyber Resilience Act (CRA) de l’Union européenne s’appliquent aux fabricants de produits comportant des éléments numériques. Ils doivent déclarer les vulnérabilités activement exploitées et les incidents graves qui affectent la sécurité de leurs produits. Une alerte précoce doit être transmise dans les 24 heures suivant la prise de connaissance, puis une notification plus complète dans les 72 heures. 1718

Une architecture à sécurité mémoire peut aider les fabricants à réduire leur exposition à certaines vulnérabilités de corruption mémoire susceptibles de devoir être signalées, tout en renforçant leur démarche de sécurité dès la conception. Elle ne vaut cependant pas conformité automatique au CRA : gouvernance de la sécurité produit, détection des incidents, traitement des vulnérabilités, procédures de notification et autres obligations restent nécessaires.

La prochaine preuve à apporter : l’adoption à grande échelle

Fondée en 2022, SCI Semiconductor serait également un fournisseur clé du programme britannique Accelerated CHERI Adoption Programme. L’entreprise prévoit de créer 15 postes supplémentaires, portant son équipe de Sheffield et Cambridge, actuellement forte de 35 personnes, à un effectif supérieur. 1114

Les 5 M£ levés donnent à SCI Semiconductor les moyens de passer des premières puces et commandes à une production à plus grande échelle. Sa proposition centrale est claire : si les règles d’accès à la mémoire sont appliquées par le matériel, certaines vulnérabilités peuvent être bloquées avant de devenir un correctif urgent, une panne ou un incident à déclarer.

Reste à savoir si cette promesse trouvera une place large dans les produits commerciaux. La réponse dépendra de l’intégration par les clients, de la maturité des outils destinés aux développeurs et des performances observées en conditions réelles.