SCI Semiconductor привлекла £5 млн на выпуск чипов ICENI с защитой памяти

Раунд роста на £5 млн для SCI Semiconductor — это проверка коммерческой жизнеспособности давней идеи в кибербезопасности: не пытаться находить и исправлять каждую ошибку работы с памятью в уже написанном ПО, а предотвращать часть таких ошибок на уровне архитектуры процессора. Компания из Шеффилда направит деньги на увеличение производства чипов ICENI и разработку следующего поколения продукции. 36

Кто инвестировал и на что пойдут деньги

Переподписанный инвестиционный раунд возглавили PXN Ventures и Mercia Ventures — управляющие соответствующими фондами Northern Powerhouse Investment Fund II. В нём также участвовали специализированный инвестор в кибербезопасность Osney Capital, американская Black Opal Ventures и частные инвесторы. 36

Ближайшая задача SCI — расширить выпуск ICENI в ответ на спрос, одновременно продолжая разработку новых чипов. Компания уже изготовила первые устройства и заявляет о заказах на сумму свыше £2 млн. Также она сообщает о государственных контрактах на £7,7 млн и партнёрствах с Google Research и Microsoft. 612

Эти показатели говорят о раннем рыночном интересе. Но главный следующий этап — превратить его в устойчивое внедрение: заказчикам нужны совместимые аппаратная платформа, инструменты разработки и прикладное ПО, которые смогут работать вместе в реальных продуктах.

Чем ICENI отличается от обычных чипов

ICENI построен на базе CHERI — архитектуры компьютеров на основе возможностей доступа, созданной в рамках исследований, поддержанных Великобританией. CHERI использует указатели с безопасной работой с памятью и изолированные области памяти, чтобы контролировать доступ программ к данным. Британское правительство описывает этот подход как «безопасность по проекту», призванную укрепить защиту систем и устранить многие распространённые уязвимости, связанные с памятью.

На практике технология должна затруднить эксплуатацию таких сбоев, как недопустимый доступ к памяти или выход за границы выделенного участка. Это отличается от подхода, при котором проверки выполняются лишь в программном коде после его написания и развёртывания.

Ставка велика: ошибки безопасности памяти остаются устойчивым источником уязвимостей. В материалах правительства Великобритании приводится оценка исследований Google и Microsoft: на ошибки безопасности памяти приходится 70% сохраняющихся киберуязвимостей.

Почему безопасность памяти стала бизнес-вопросом

Ошибки работы с памятью — это не только теоретическая проблема информационной безопасности. Они способны вызвать и серьёзный сбой в работе сервисов. Инцидент CrowdStrike в июле 2024 года не был кибератакой, однако технический разбор первопричин компании установил, что скрытая ошибка чтения за пределами массива в Content Interpreter способствовала падению систем после проблемного обновления.

Это не означает, что архитектура на базе CHERI обязательно предотвратила бы все обстоятельства того сбоя. Но случай хорошо показывает, почему организации всё чаще стремятся сокращать целые классы ошибок, а не полагаться исключительно на их выявление и исправление после релиза.

Схожую стратегическую позицию занимает британский Национальный центр кибербезопасности (NCSC): уязвимости, связанные с памятью, широко распространены, а разработка с безопасностью «по проекту» может снизить постоянную нагрузку на выпуск патчей и реагирование на инциденты. При этом NCSC подчёркивает, что обновления остаются необходимыми — особенно для внешне доступных и критически важных систем.

Где CHERI полезна — и чего она не решает

Аппаратно enforced границы памяти способны уменьшать вероятность или последствия части ошибок повреждения памяти. Это может быть особенно ценно для продуктов с долгим жизненным циклом поддержки и для сред, где отказ влечёт серьёзные операционные последствия.

Однако безопасность памяти — лишь один из уровней защиты. Оборудование на базе CHERI не устраняет ошибки управления идентификацией и доступом, небезопасные процессы обновления, неверные настройки, социальную инженерию, риски цепочки поставок и логические ошибки в приложениях. Организациям по-прежнему необходимы безопасная разработка, тестирование, мониторинг, управление уязвимостями и своевременные обновления.

Поэтому для SCI вопрос коммерческого успеха не сводится к характеристикам кремния. Покупателям потребуется убедительный способ интегрировать CHERI-совместимые аппаратные и программные компоненты в готовые продукты без неприемлемых потерь в стоимости, совместимости или удобстве разработки.

Что меняет Cyber Resilience Act

Требования к отчётности в рамках европейского Cyber Resilience Act распространяются на производителей продуктов с цифровыми элементами. С 11 сентября 2026 года они обязаны сообщать об активно эксплуатируемых уязвимостях и тяжёлых инцидентах, затрагивающих безопасность продукта. Предварительное уведомление нужно направить в течение 24 часов с момента обнаружения, а более полное — в течение 72 часов. 1718

Архитектура с безопасной работой с памятью может помочь производителям снизить риск некоторых уязвимостей, связанных с повреждением памяти, которые могут подпадать под требования отчётности, а также усилить подход к безопасности по проекту. Но автоматического соответствия CRA она не даёт: всё равно нужны процессы управления безопасностью продукта, выявления инцидентов, обработки уязвимостей и отчётности, а также выполнение остальных применимых требований.

Следующая проверка — масштабное внедрение

SCI Semiconductor, основанная в 2022 году, также называется ключевым поставщиком британской программы Accelerated CHERI Adoption Programme. Компания планирует открыть ещё 15 позиций в команде из 35 сотрудников, работающих в Шеффилде и Кембридже. 1114

Раунд на £5 млн даёт SCI ресурс для перехода от первых чипов и заказов к серийному масштабу. Её основная идея проста: если правила доступа к памяти обеспечиваются аппаратно, часть уязвимостей можно остановить до того, как они станут проблемой для патчинга, причиной сбоя или поводом для обязательного раскрытия информации. Станет ли это широко применяемой категорией продуктов, покажут интеграция у заказчиков, зрелость инструментария для разработчиков и результаты эксплуатации в производственных системах.