SCI Semiconductor haalt £5 miljoen op voor opschaling geheugenveilige ICENI-chips

SCI Semiconductor heeft £5 miljoen groeikapitaal opgehaald om zijn geheugenveilige ICENI-chips op grotere schaal te produceren en een volgende generatie te ontwikkelen. Voor de chipmaker uit Sheffield is het een commerciële lakmoesproef voor een al langer bestaand idee in cybersecurity: voorkom bepaalde geheugenfouten in de processorarchitectuur, in plaats van iedere fout pas na afloop in software te moeten opsporen en patchen. 36

Wie investeert — en waar het geld naartoe gaat

De overingetekende ronde werd geleid door PXN Ventures en Mercia Ventures. Beide beheren relevante aandelenfondsen binnen het Northern Powerhouse Investment Fund II, een Brits investeringsprogramma voor groei in Noord-Engeland. Ook cybersecurityinvesteerder Osney Capital, het Amerikaanse Black Opal Ventures en private investeerders deden mee. 36

SCI wil de productie opschalen vanwege de vraag naar ICENI en tegelijk verder werken aan nieuwe chips. Het bedrijf meldt dat de eerste chips al zijn geproduceerd en dat het voor meer dan £2 miljoen aan orders heeft. Daarnaast zegt SCI voor £7,7 miljoen aan overheidscontracten te hebben gewonnen en samenwerkingen te hebben met Google Research en Microsoft. 612

Dat wijst op vroege marktvraag. De moeilijkere stap is echter duurzame inzet in echte producten: hardware, ontwikkeltools en applicaties moeten in de praktijk goed met elkaar samenwerken.

Wat ICENI anders maakt

ICENI is gebaseerd op CHERI, een capability-gebaseerde computerarchitectuur die voortkomt uit door het VK ondersteund onderzoek. CHERI werkt met geheugenveilige pointers en veilige compartimentering van geheugen. Daardoor kan de hardware afdwingen welk deel van software toegang heeft tot welk deel van het geheugen. De Britse overheid omschrijft dit als security by design, bedoeld om systeembeveiliging te versterken en veel voorkomende kwetsbaarheden rond geheugentoegang weg te nemen.

Concreet moet dit fouten zoals ongeldige toegang tot geheugen of toegang buiten de toegestane grenzen moeilijker uit te buiten maken. Dat is iets anders dan uitsluitend controles uitvoeren nadat code is geschreven en uitgerold.

De potentiële impact is groot. Volgens onderzoek van Google en Microsoft, aangehaald door de Britse overheid, is naar schatting 70% van de doorlopende cyberkwetsbaarheden gerelateerd aan geheugenveiligheid.

Waarom geheugenveiligheid ook een bedrijfsrisico is

Geheugenfouten zijn niet alleen een abstract beveiligingsprobleem; ze kunnen ook storingen veroorzaken. De wereldwijde CrowdStrike-storing van juli 2024 was geen cyberaanval. Uit de technische oorzaakanalyse van CrowdStrike bleek wel dat een sluimerende out-of-bounds read — het uitlezen van geheugen buiten de toegestane gegevensreeks — in de Content Interpreter bijdroeg aan systeemcrashes na een problematische update.

Dat betekent niet dat een ontwerp op basis van CHERI alle oorzaken van die storing had voorkomen. Het maakt wel duidelijk waarom organisaties steeds meer waarde hechten aan het verkleinen van complete foutcategorieën, in plaats van alleen fouten na een release te detecteren en te herstellen.

Het Britse National Cyber Security Centre (NCSC) maakt een vergelijkbaar punt: kwetsbaarheden rond geheugenveiligheid komen veel voor en veilig ontwikkelen vanaf het ontwerp kan de structurele last van patchbeheer en incidentrespons verminderen. Het NCSC benadrukt tegelijk dat patches noodzakelijk blijven, vooral voor blootgestelde en kritieke systemen.

Waar CHERI helpt — en waar niet

Door grenzen van geheugen in hardware af te dwingen, kan het risico of de impact van bepaalde geheugenbeschadigingen afnemen. Dat kan extra relevant zijn voor producten met een lange ondersteuningsperiode, of voor omgevingen waarin storingen grote operationele gevolgen hebben.

Maar geheugenveiligheid is slechts één beveiligingslaag. Hardware op basis van CHERI lost geen problemen op met identiteits- en toegangsbeheer, onveilige updateprocessen, foutieve configuraties, social engineering, risico's in de toeleveringsketen of fouten in applicatielogica. Organisaties blijven veilige ontwikkelmethoden, tests, monitoring, kwetsbaarhedenbeheer en tijdige updates nodig hebben.

Voor SCI gaat de commerciële opgave dus verder dan chipprestaties. Klanten moeten de hardware en software die met CHERI overweg kunnen geloofwaardig kunnen integreren, zonder onaanvaardbare kosten, compatibiliteitsproblemen of nadelen voor de ontwikkelsnelheid.

Wat de Cyber Resilience Act verandert

De rapportageverplichtingen van de Europese Cyber Resilience Act (CRA) gelden voor fabrikanten van producten met digitale elementen die in de EU beschikbaar worden gemaakt. Sinds 11 september 2026 moeten zij actief misbruikte kwetsbaarheden en ernstige incidenten die de productbeveiliging raken melden. Een eerste waarschuwing moet binnen 24 uur na kennisname worden ingediend, gevolgd door een uitgebreidere melding binnen 72 uur. 1718

Een geheugenveilige architectuur kan fabrikanten helpen om de blootstelling aan bepaalde meldingsplichtige geheugenbeschadigingen te verkleinen en om een sterker security-by-design-verhaal te onderbouwen. Het levert echter niet automatisch CRA-naleving op. Daarvoor zijn onder meer productbeveiligingsgovernance, detectie van incidenten, processen voor het afhandelen van kwetsbaarheden en rapportageprocedures nodig.

De volgende bewijsfase: adoptie op schaal

SCI is opgericht in 2022 en wordt genoemd als kernleverancier binnen het Britse Accelerated CHERI Adoption Programme. Het bedrijf is volgens berichtgeving van plan 15 functies toe te voegen aan het team van 35 medewerkers in Sheffield en Cambridge. 1114

De ronde van £5 miljoen geeft SCI ruimte om van eerste chips en orders door te groeien naar productie op schaal. De kernbelofte is eenvoudig: als regels voor geheugentoegang in hardware worden afgedwongen, kunnen sommige kwetsbaarheden worden voorkomen voordat ze een patch-, uitval- of meldingsprobleem worden. Of dat uitgroeit tot een breed toegepaste productcategorie, hangt uiteindelijk af van integratie bij klanten, goede ontwikkeltools en bewezen prestaties in productiesystemen.