SCI Semiconductor capta £ 5 milhões para ampliar produção de chips ICENI com segurança de memória

A rodada de £ 5 milhões da SCI Semiconductor é uma aposta comercial em uma ideia antiga da cibersegurança: evitar certos erros de memória na própria arquitetura do processador, em vez de tentar localizar e corrigir cada falha apenas no software. A companhia, sediada em Sheffield, no Reino Unido, usará os recursos para ampliar a produção de seus chips ICENI e desenvolver uma próxima geração de produtos. 36

Quem investiu e para onde vai o dinheiro

A captação, que foi superdimensionada — ou seja, recebeu demanda de investidores acima do valor buscado — foi liderada por PXN Ventures e Mercia Ventures. As duas gestoras administram os fundos de participação do Northern Powerhouse Investment Fund II (NPIF II), iniciativa voltada ao crescimento empresarial no norte da Inglaterra. Também participaram a investidora especializada em cibersegurança Osney Capital, a americana Black Opal Ventures e investidores privados. 36

Segundo a SCI, a prioridade imediata é escalar a produção diante da demanda pelo ICENI, ao mesmo tempo em que avança o desenvolvimento de novos chips. A empresa já fabricou seus primeiros dispositivos e informa ter mais de £ 2 milhões em pedidos. Ela também declara £ 7,7 milhões em contratos com o governo e parcerias com Google Research e Microsoft. 612

Os números apontam para atividade comercial inicial, mas o desafio maior é transformar interesse em adoção contínua. Para isso, hardware, ferramentas de desenvolvimento e aplicações precisam funcionar juntos em produtos efetivamente implantados.

O que diferencia o ICENI

O ICENI é baseado em CHERI, uma arquitetura computacional baseada em capacidades e desenvolvida a partir de pesquisas apoiadas pelo Reino Unido. A tecnologia usa ponteiros seguros em relação à memória e compartimentalização para controlar como os programas acessam a memória. O governo britânico descreve a abordagem como security by design — segurança desde a concepção —, voltada a reforçar sistemas e eliminar muitas vulnerabilidades comuns ligadas à memória.

Na prática, o objetivo é tornar mais difícil explorar categorias de falhas como acessos inválidos ou fora dos limites da memória. É uma proposta diferente de depender exclusivamente de verificações feitas pelo software depois que o código já foi desenvolvido e colocado em operação.

O potencial é relevante porque bugs de segurança de memória continuam sendo uma fonte recorrente de defeitos. Material do governo do Reino Unido cita pesquisas de Google e Microsoft segundo as quais essas falhas representam 70% das vulnerabilidades cibernéticas em curso.

Por que segurança de memória virou questão de negócio

Erros de memória não são apenas um risco teórico de invasão: também podem provocar incidentes de confiabilidade. A grande interrupção ligada à CrowdStrike, em julho de 2024, não foi um ataque cibernético. Ainda assim, a análise técnica de causa raiz da empresa identificou que uma leitura fora dos limites (out-of-bounds read) latente em seu Content Interpreter contribuiu para travamentos após uma atualização problemática.

Isso não significa que um projeto baseado em CHERI teria evitado todos os fatores daquele incidente. O caso, porém, ajuda a explicar por que empresas buscam reduzir categorias inteiras de bugs, em vez de depender somente de detecção e correção após o lançamento.

O National Cyber Security Centre (NCSC), órgão britânico de cibersegurança, faz argumento semelhante: vulnerabilidades de memória são frequentes, e práticas de desenvolvimento seguras desde a concepção podem reduzir a carga contínua de aplicação de correções e resposta a incidentes. Ao mesmo tempo, o NCSC ressalta que atualizar sistemas continua indispensável, sobretudo os expostos à internet ou críticos.

Onde a CHERI ajuda — e onde não ajuda

Limites de memória aplicados pelo hardware podem reduzir a probabilidade ou o impacto de alguns defeitos de corrupção de memória. Isso pode ser particularmente valioso para produtos com ciclos longos de suporte ou ambientes em que uma falha traz consequências operacionais elevadas.

Mas segurança de memória é apenas uma camada de proteção. Hardware baseado em CHERI não elimina falhas de identidade e controle de acesso, processos inseguros de atualização, configurações inadequadas, engenharia social, riscos na cadeia de suprimentos ou erros na lógica da aplicação. Boas práticas de desenvolvimento, testes, monitoramento, gestão de vulnerabilidades e atualizações rápidas seguem necessários.

Para a SCI, portanto, a questão comercial vai além do desempenho do chip. Clientes precisarão de um caminho viável para integrar hardware e software compatíveis com CHERI em produtos reais, sem custos, problemas de compatibilidade ou concessões de desenvolvimento inaceitáveis.

O que muda com a Lei de Resiliência Cibernética da UE

As obrigações de reporte da Lei de Resiliência Cibernética da União Europeia, conhecida pela sigla CRA, valem para fabricantes de produtos com elementos digitais. Desde 11 de setembro de 2026, fabricantes devem informar vulnerabilidades exploradas ativamente e incidentes graves que afetem a segurança de seus produtos. O alerta inicial deve ser enviado em até 24 horas após a ciência do caso; uma notificação mais completa deve seguir em até 72 horas. 1718

Uma arquitetura com segurança de memória pode ajudar fabricantes a reduzir a exposição a parte das vulnerabilidades reportáveis relacionadas à corrupção de memória e a demonstrar uma postura mais robusta de segurança desde o projeto. Isso, no entanto, não gera conformidade automática com a CRA. As obrigações continuam exigindo governança de segurança do produto, detecção de incidentes, tratamento de vulnerabilidades, processos de notificação e os demais requisitos aplicáveis.

A próxima prova: adoção em escala

Fundada em 2022, a SCI também é apontada como fornecedora central do programa britânico Accelerated CHERI Adoption Programme. A companhia planeja abrir 15 vagas para sua equipe de 35 pessoas distribuída entre Sheffield e Cambridge. 1114

A rodada de £ 5 milhões dá à empresa fôlego para sair da fase de primeiros chips e pedidos rumo à produção em escala. A proposta central é simples: se as regras de acesso à memória puderem ser impostas no hardware, algumas vulnerabilidades poderão ser bloqueadas antes de virar um problema de atualização, indisponibilidade ou divulgação obrigatória.

O sucesso dessa proposta como categoria amplamente adotada dependerá da integração pelos clientes, da maturidade das ferramentas para desenvolvedores e de desempenho comprovado em sistemas de produção.