SCI Semiconductor punta sui chip ICENI per fermare i bug di memoria alla radice

SCI Semiconductor ha raccolto 5 milioni di sterline in un round di crescita sovrasottoscritto. Per la società con sede a Sheffield, l’operazione è soprattutto un banco di prova commerciale per un’idea di cybersicurezza perseguita da tempo: impedire alcuni errori di memoria nell’architettura del processore, invece di cercare e correggere ogni singolo difetto via software. I fondi serviranno ad aumentare la produzione dei chip ICENI e a sviluppare un prodotto di nuova generazione. 36

Chi ha investito e come saranno impiegati i fondi

Il finanziamento è stato guidato da PXN Ventures e Mercia Ventures, gestori dei rispettivi fondi azionari del Northern Powerhouse Investment Fund II (NPIF II), un programma di investimento dedicato alla crescita delle imprese nel Nord dell’Inghilterra. Hanno partecipato anche Osney Capital, investitore specializzato in cybersicurezza, la statunitense Black Opal Ventures e investitori privati. 36

La priorità dichiarata da SCI è aumentare la produzione in risposta alla domanda per ICENI, affiancando il lavoro sul chip successivo. L’azienda afferma di aver già fabbricato i primi dispositivi e di avere ordini per oltre 2 milioni di sterline. Riferisce inoltre contratti governativi per 7,7 milioni di sterline e partnership con Google Research e Microsoft. 612

Questi dati mostrano una prima trazione di mercato, ma il passaggio decisivo sarà trasformare l’interesse iniziale in adozioni durature. Per farlo, hardware, strumenti di sviluppo software e applicazioni dovranno funzionare insieme nei prodotti effettivamente distribuiti.

Che cosa rende diverso ICENI

ICENI si basa su CHERI, un’architettura informatica basata sulle capacità e nata da ricerca sostenuta nel Regno Unito. CHERI impiega puntatori sicuri rispetto alla memoria e compartimentazione protetta per controllare il modo in cui il software accede alla memoria. Il governo britannico la descrive come un approccio di sicurezza fin dalla progettazione, pensato per rafforzare la sicurezza dei sistemi e rimuovere molte vulnerabilità comuni legate alla memoria.

In pratica, l’obiettivo è rendere più difficili da sfruttare intere classi di errori, come gli accessi alla memoria non validi o oltre i limiti previsti. È un’impostazione diversa dal fare affidamento soltanto su controlli software dopo che il codice è stato scritto e distribuito.

La posta in gioco è rilevante: i difetti di sicurezza della memoria restano una fonte persistente di vulnerabilità. Materiale del governo britannico cita ricerche di Google e Microsoft secondo cui questi bug rappresentano il 70% delle vulnerabilità informatiche ricorrenti.

Perché la sicurezza della memoria è anche un tema aziendale

Gli errori di memoria non sono solo un problema teorico di sicurezza: possono trasformarsi in incidenti di affidabilità operativa. Il grande blackout causato da CrowdStrike nel luglio 2024 non fu un attacco informatico, ma l’analisi tecnica delle cause realizzata dall’azienda individuò una lettura fuori dai limiti (out-of-bounds read) latente nel suo Content Interpreter tra i fattori che contribuirono ai crash di sistema dopo un aggiornamento problematico.

Questo non significa che un’architettura basata su CHERI avrebbe evitato ogni elemento di quell’evento. Mostra però perché le organizzazioni guardano con crescente interesse alla riduzione di intere categorie di bug, anziché affidarsi solo all’individuazione e alla correzione dopo il rilascio.

Il National Cyber Security Centre britannico (NCSC) sostiene una linea simile: le vulnerabilità di sicurezza della memoria sono diffuse e lo sviluppo sicuro fin dalla progettazione può ridurre il peso costante della gestione delle patch e della risposta agli incidenti. Lo stesso NCSC sottolinea però che gli aggiornamenti restano indispensabili, soprattutto per sistemi esposti e critici.

Dove CHERI può aiutare — e dove non basta

Confini della memoria applicati dall’hardware possono ridurre la probabilità o l’impatto di alcuni difetti di corruzione della memoria. Il vantaggio può essere particolarmente importante per prodotti con cicli di supporto lunghi o per ambienti nei quali un guasto comporta conseguenze operative elevate.

La sicurezza della memoria, tuttavia, è solo uno strato della difesa. L’hardware basato su CHERI non elimina problemi di identità e controllo degli accessi, procedure di aggiornamento non sicure, configurazioni errate, ingegneria sociale, rischi di filiera o errori nella logica applicativa. Restano necessari sviluppo sicuro, test, monitoraggio, gestione delle vulnerabilità e aggiornamenti tempestivi.

Per SCI, quindi, la sfida commerciale va oltre le prestazioni del chip: i clienti dovranno avere un percorso credibile per integrare hardware e software compatibili con CHERI nei prodotti reali, senza compromessi inaccettabili su costi, compatibilità o sviluppo.

Cosa cambia con il Cyber Resilience Act

Gli obblighi di segnalazione del Cyber Resilience Act europeo (CRA) riguardano i produttori di prodotti con elementi digitali. Dall’11 settembre 2026, i produttori devono segnalare le vulnerabilità sfruttate attivamente e gli incidenti gravi che incidono sulla sicurezza dei prodotti. Un primo avviso deve arrivare entro 24 ore dalla scoperta, seguito da una notifica più completa entro 72 ore. 1718

Un’architettura a sicurezza della memoria può aiutare i produttori a ridurre l’esposizione ad alcune vulnerabilità di corruzione della memoria potenzialmente soggette a segnalazione, oltre a sostenere un approccio di sicurezza fin dalla progettazione. Non equivale però a una conformità automatica al CRA: restano richiesti governance della sicurezza del prodotto, rilevamento degli incidenti, gestione delle vulnerabilità, procedure di segnalazione e gli altri adempimenti applicabili.

Il prossimo test: l’adozione su scala

SCI, fondata nel 2022, è indicata anche come fornitore chiave dell’Accelerated CHERI Adoption Programme del governo britannico. L’azienda prevede di aggiungere 15 posizioni al team di 35 persone distribuito tra Sheffield e Cambridge. 1114

Il round da 5 milioni di sterline le offre risorse per passare dai primi chip in silicio e dagli ordini iniziali a una produzione su scala maggiore. La proposta centrale è semplice: se le regole di accesso alla memoria sono applicate dall’hardware, alcune vulnerabilità possono essere bloccate prima di trasformarsi in una patch urgente, un’interruzione del servizio o un obbligo di notifica. La diffusione di questa categoria di prodotti dipenderà però dall’integrazione presso i clienti, dagli strumenti per gli sviluppatori e dalle prestazioni dimostrate in sistemi operativi reali.