SCI Semiconductor Kumpulkan £5 Juta untuk Produksi Chip ICENI Berbasis Keamanan Memori

Pendanaan baru senilai £5 juta bagi SCI Semiconductor menjadi ujian komersial bagi gagasan lama dalam keamanan siber: mencegah jenis kesalahan memori tertentu langsung pada arsitektur prosesor, alih-alih hanya mencari dan menambalnya satu per satu lewat perangkat lunak. Perusahaan yang berkantor pusat di Sheffield, Inggris, itu akan memakai dana tersebut untuk meningkatkan produksi chip ICENI dan mengembangkan produk generasi berikutnya. 36

Siapa investornya dan untuk apa dananya

Putaran pendanaan yang disebut mengalami kelebihan permintaan (oversubscribed) ini dipimpin PXN Ventures dan Mercia Ventures. Keduanya mengelola dana ekuitas terkait Northern Powerhouse Investment Fund II (NPIF II), program investasi bagi bisnis di Inggris utara. Investor keamanan siber Osney Capital, Black Opal Ventures dari Amerika Serikat, serta sejumlah investor privat juga ikut berpartisipasi. 36

Prioritas SCI adalah memperbesar produksi untuk memenuhi permintaan ICENI, sambil melanjutkan pengembangan chip. Perusahaan menyatakan telah memfabrikasi perangkat pertamanya dan mengamankan pesanan senilai lebih dari £2 juta. SCI juga melaporkan kontrak pemerintah senilai £7,7 juta serta kemitraan dengan Google Research dan Microsoft. 612

Angka-angka tersebut menunjukkan adanya aktivitas pasar awal. Namun, pembuktian yang lebih besar adalah mengubah ketertarikan tersebut menjadi adopsi yang berkelanjutan. Pelanggan tetap membutuhkan kombinasi perangkat keras, alat pengembangan perangkat lunak, dan aplikasi yang dapat berjalan bersama dalam sistem nyata.

Apa yang membedakan ICENI

ICENI dibangun di atas CHERI, arsitektur komputer berbasis kapabilitas yang berkembang dari riset yang didukung pemerintah Inggris. CHERI menggunakan pointer yang aman bagi memori dan pemisahan komponen secara aman untuk mengendalikan cara perangkat lunak mengakses memori. Pemerintah Inggris menggambarkannya sebagai pendekatan security by design yang bertujuan memperkuat keamanan sistem dan menghilangkan banyak kerentanan keamanan memori yang umum.

Secara praktis, rancangan ini ditujukan agar kegagalan seperti akses memori tidak valid atau akses di luar batas (out-of-bounds) lebih sulit dieksploitasi. Pendekatannya berbeda secara mendasar dari hanya mengandalkan pemeriksaan perangkat lunak setelah kode dibuat dan dipasang.

Potensinya besar karena bug keamanan memori tetap menjadi sumber penting kelemahan siber. Materi pemerintah Inggris mengutip riset Google dan Microsoft yang memperkirakan 70% kerentanan siber yang terus muncul berkaitan dengan bug keamanan memori.

Mengapa keamanan memori kini menjadi isu bisnis

Kesalahan memori bukan sekadar masalah teknis teoretis; dampaknya juga dapat berupa gangguan keandalan layanan. Gangguan besar CrowdStrike pada Juli 2024 bukan serangan siber. Namun, analisis akar masalah teknis perusahaan menemukan bahwa pembacaan memori di luar batas yang sudah tersembunyi (latent out-of-bounds read) pada Content Interpreter turut menyebabkan sistem mengalami crash setelah pembaruan yang bermasalah.

Ini tidak berarti desain berbasis CHERI otomatis akan mencegah seluruh faktor penyebab gangguan tersebut. Namun, kasus itu memperlihatkan alasan organisasi makin memperhatikan upaya mengurangi kategori bug secara menyeluruh, bukan hanya mengandalkan deteksi dan perbaikan setelah produk dirilis.

National Cyber Security Centre (NCSC), badan keamanan siber Inggris, mengemukakan argumen serupa: kerentanan keamanan memori banyak ditemukan, dan pengembangan yang aman sejak desain dapat mengurangi beban berkelanjutan untuk pengelolaan patch dan respons insiden. Meski begitu, NCSC menegaskan pembaruan keamanan atau patching tetap diperlukan, terutama untuk sistem yang terekspos dan kritis.

Yang dapat dibantu CHERI—dan batasannya

Batas memori yang ditegakkan oleh perangkat keras dapat menurunkan kemungkinan atau dampak sebagian celah korupsi memori. Ini berpotensi sangat bernilai pada produk dengan masa dukungan panjang, atau lingkungan yang konsekuensi operasional kegagalannya tinggi.

Namun, keamanan memori hanyalah satu lapisan pertahanan. Perangkat keras berbasis CHERI tidak menghapus masalah identitas dan kontrol akses, proses pembaruan yang tidak aman, salah konfigurasi, rekayasa sosial, risiko rantai pasok, maupun kesalahan logika aplikasi. Organisasi tetap membutuhkan praktik pengembangan perangkat lunak yang aman, pengujian, pemantauan, manajemen kerentanan, dan pembaruan tepat waktu.

Karena itu, tantangan bisnis SCI tidak hanya soal performa chip. Pelanggan harus memiliki jalur yang meyakinkan untuk mengintegrasikan perangkat keras dan perangkat lunak yang memahami CHERI ke produk nyata tanpa kompromi biaya, kompatibilitas, atau proses pengembangan yang tidak dapat diterima.

Dampak Cyber Resilience Act Uni Eropa

Kewajiban pelaporan dalam Cyber Resilience Act (CRA) Uni Eropa berlaku bagi produsen produk dengan elemen digital. Sejak 11 September 2026, produsen harus melaporkan kerentanan yang dieksploitasi secara aktif serta insiden serius yang memengaruhi keamanan produk. Peringatan awal wajib disampaikan dalam 24 jam setelah menyadari kejadian, lalu diikuti notifikasi lebih lengkap dalam 72 jam. 1718

Arsitektur aman bagi memori berpotensi membantu produsen mengurangi paparan terhadap sebagian kerentanan korupsi memori yang dapat dilaporkan, sekaligus menunjukkan pendekatan security by design yang lebih kuat. Namun, ini bukan kepatuhan CRA secara otomatis. Kewajiban CRA tetap mencakup tata kelola keamanan produk, deteksi insiden, penanganan kerentanan, proses pelaporan, dan persyaratan lain yang berlaku.

Pembuktian berikutnya: adopsi dalam skala besar

SCI didirikan pada 2022 dan juga dilaporkan menjadi pemasok inti dalam Accelerated CHERI Adoption Programme milik pemerintah Inggris. Perusahaan berencana menambah 15 posisi pada timnya yang beranggotakan 35 orang di Sheffield dan Cambridge. 1114

Pendanaan £5 juta memberi SCI ruang untuk bergerak dari silikon awal dan pesanan pertama menuju produksi berskala lebih besar. Gagasan utamanya sederhana: bila aturan akses memori dapat ditegakkan lewat perangkat keras, sebagian kerentanan dapat dicegah sebelum berubah menjadi masalah patch, gangguan layanan, atau kewajiban pengungkapan insiden. Apakah pendekatan ini akan menjadi kategori produk yang dipakai luas akan bergantung pada integrasi pelanggan, kematangan alat pengembang, serta performa yang terbukti di sistem produksi.