SCI Semiconductor henter 5 millioner pund til minnesikre ICENI-brikker

SCI Semiconductors nye vekstrunde på 5 millioner pund er en kommersiell test av en idé som lenge har stått sentralt i cybersikkerhet: Å hindre enkelte minnefeil i selve prosessorarkitekturen, fremfor å forsøke å finne og rette hver enkelt feil i programvaren i etterkant. Selskapet, som har hovedkontor i Sheffield, skal bruke kapitalen til å øke produksjonen av ICENI-brikkene og utvikle et neste generasjons produkt. 36

Investorene og planene for kapitalen

Den overtegnede finansieringsrunden ble ledet av PXN Ventures og Mercia Ventures, som forvalter de aktuelle aksjefondene under Northern Powerhouse Investment Fund II. Den spesialiserte cybersikkerhetsinvestoren Osney Capital, amerikanske Black Opal Ventures og private investorer deltok også. 36

SCI opplyser at den umiddelbare prioriteten er å skalere produksjonen for å møte etterspørselen etter ICENI, parallelt med videre brikkeutvikling. Selskapet har allerede produsert sine første enheter og oppgir å ha ordre på mer enn 2 millioner pund. Det opplyser også om offentlige kontrakter på 7,7 millioner pund samt partnerskap med Google Research og Microsoft. 612

Tallene peker på tidlig markedsaktivitet, men den større utfordringen er å gjøre interessen om til varig produktadopsjon. Kundene trenger maskinvare, programvareverktøy og applikasjoner som fungerer sammen i systemer som faktisk settes i drift.

Hva skiller ICENI fra vanlige brikker?

ICENI bygger på CHERI, en kapabilitetsbasert dataarkitektur utviklet gjennom britisk-støttet forskning. CHERI bruker minnesikre pekere og sikker inndeling av minnet for å styre hvordan programvare får tilgang til minne. Britiske myndigheter beskriver dette som «security by design»: en tilnærming som skal styrke systemsikkerheten og fjerne mange vanlige minnesikkerhetssårbarheter.

I praksis er målet å gjøre feil som ugyldig minnetilgang eller tilgang utenfor et gyldig minneområde vanskeligere å utnytte. Det er noe annet enn å utelukkende stole på programvarekontroller etter at koden er skrevet og tatt i bruk.

Potensialet er betydelig fordi minnesikkerhetsfeil fortsatt er en vedvarende kilde til sikkerhetsmangler. Britisk myndighetsmateriale viser til forskning fra Google og Microsoft som anslår at minnesikkerhetsfeil står for 70 prosent av pågående cybersårbarheter.

Når minnefeil blir et driftsproblem

Minnefeil er ikke bare et teoretisk sikkerhetsproblem; de kan også utløse alvorlige driftsforstyrrelser. CrowdStrike-hendelsen i juli 2024 var ikke et cyberangrep, men selskapets tekniske analyse av rotårsaken fant at en latent lesing utenfor et gyldig minneområde i selskapets Content Interpreter bidro til systemkrasj etter en problematisk oppdatering.

Det betyr ikke at en CHERI-basert arkitektur nødvendigvis ville ha forhindret alle forholdene bak den hendelsen. Eksemplet illustrerer likevel hvorfor virksomheter er stadig mer opptatt av å redusere hele kategorier av feil, fremfor bare å oppdage og utbedre dem etter lansering.

Storbritannias National Cyber Security Centre (NCSC) fremmer en lignende strategisk vurdering: Minnesikkerhetssårbarheter er utbredt, og utvikling med sikkerhet innebygd fra starten kan redusere den løpende byrden med oppdateringer og hendelseshåndtering. Samtidig understreker NCSC at oppdateringer fortsatt er nødvendige, særlig for eksponerte og kritiske systemer.

Hva CHERI kan hjelpe med – og ikke kan løse

Maskinvarehåndhevede minnegrenser kan redusere sannsynligheten for, eller konsekvensene av, enkelte minnekorrupsjonsfeil. Det kan være særlig verdifullt i produkter med lang levetid og støtteperiode, eller i miljøer der feil får store operative konsekvenser.

Men minnesikkerhet er bare ett sikkerhetslag. CHERI-basert maskinvare fjerner ikke svakheter i identitets- og tilgangsstyring, usikre oppdateringsprosesser, feilkonfigurasjon, sosial manipulering, risiko i leverandørkjeden eller feil i applikasjonslogikken. Virksomheter trenger fortsatt sikker programvareutvikling, testing, overvåking, sårbarhetshåndtering og raske oppdateringer.

For SCI er det kommersielle spørsmålet dermed større enn selve brikkens ytelse. Kundene trenger en troverdig vei til å integrere CHERI-bevisst maskinvare og programvare i reelle produkter uten uakseptable kostnader, kompatibilitetsproblemer eller utviklingsmessige kompromisser.

Hva EUs Cyber Resilience Act betyr

Rapporteringskravene i EUs Cyber Resilience Act gjelder produsenter av produkter med digitale elementer. Fra 11. september 2026 må produsenter rapportere aktivt utnyttede sårbarheter og alvorlige hendelser som påvirker produktsikkerheten. Et første varsel skal sendes innen 24 timer etter at produsenten ble kjent med forholdet, etterfulgt av en mer utfyllende melding innen 72 timer. 1718

En minnesikker arkitektur kan hjelpe produsenter med å redusere eksponeringen for enkelte rapporteringspliktige sårbarheter knyttet til minnekorrupsjon, og samtidig underbygge en sterkere tilnærming til innebygd sikkerhet. Det gir imidlertid ikke automatisk etterlevelse av regelverket. CRA krever fortsatt styring av produktsikkerhet, oppdagelse av hendelser, håndtering av sårbarheter, rapporteringsprosesser og oppfyllelse av øvrige relevante krav.

Neste bevispunkt: Adopsjon i stor skala

SCI ble grunnlagt i 2022, og omtales også som en kjerneleverandør i det britiske Accelerated CHERI Adoption Programme. Selskapet planlegger å ansette 15 personer til i teamet på 35 ansatte i Sheffield og Cambridge. 1114

Runden på 5 millioner pund gir SCI handlingsrom til å gå fra første silisium og ordre til produksjon i større skala. Kjerneløftet er enkelt: Dersom regler for minnetilgang håndheves i maskinvaren, kan noen sårbarheter stanses før de blir et problem som må patches, fører til driftsstans eller utløser rapporteringsplikt. Om dette blir en produktkategori med bred utbredelse, vil avhenge av kundeintegrasjon, utviklerverktøy og dokumentert ytelse i produksjonsmiljøer.