SCI Semiconductor tar in 5 miljoner pund för att skala upp minnessäkra ICENI-chip

SCI Semiconductors nya tillväxtfinansiering på 5 miljoner pund är ett kommersiellt test för en idé som länge funnits inom cybersäkerhet: att förebygga vissa minnesfel i processorarkitekturen, i stället för att försöka hitta och patcha varje enskilt fel i programvaran. Bolaget, med huvudkontor i Sheffield, ska använda kapitalet till att skala upp produktionen av sina ICENI-chip och utveckla en nästa generations produkt. 36

Vilka investerade – och vad pengarna ska användas till

Den övertecknade rundan leddes av PXN Ventures och Mercia Ventures, som förvaltar de berörda aktiefonderna inom Northern Powerhouse Investment Fund II. Den specialiserade cybersäkerhetsinvesteraren Osney Capital, USA-baserade Black Opal Ventures och privata investerare deltog också. 36

SCI uppger att den närmaste prioriteringen är att öka produktionen för att möta efterfrågan på ICENI, parallellt med fortsatt chiputveckling. Bolaget har redan tillverkat sina första enheter och uppger sig ha beställningar på mer än 2 miljoner pund. Det uppger också att det har statliga kontrakt värda 7,7 miljoner pund samt samarbeten med Google Research och Microsoft. 612

Siffrorna pekar på ett tidigt marknadsintresse. Den större utmaningen blir dock att omvandla det till varaktig användning: hårdvara, utvecklingsverktyg och kundernas tillämpningar måste fungera tillsammans i produkter som faktiskt driftsätts.

Vad som skiljer ICENI från andra chip

ICENI bygger på CHERI, en kapabilitetsbaserad datorarkitektur som vuxit fram ur brittiskt stödd forskning. CHERI använder minnessäkra pekare och säker uppdelning av minnet i avgränsade delar för att styra hur program får komma åt minne. Den brittiska staten beskriver tekniken som säkerhet redan i konstruktionen, med syftet att stärka systemsäkerheten och ta bort många vanliga minnessäkerhetsbrister.

I praktiken är tanken att göra fel som ogiltig minnesåtkomst eller åtkomst utanför en allokerad minnesyta svårare att utnyttja. Det skiljer sig från ett arbetssätt som enbart förlitar sig på programvarukontroller efter att koden redan har skrivits och distribuerats.

Potentialen är betydande eftersom minnessäkerhetsfel fortfarande är en återkommande källa till säkerhetsbrister. Brittiskt regeringsmaterial hänvisar till forskning från Google och Microsoft som uppskattar att minnessäkerhetsfel står för 70 procent av pågående cybersårbarheter.

Därför har minnessäkerhet blivit en affärsfråga

Minnesfel är inte bara ett teoretiskt cybersäkerhetsproblem, utan kan också orsaka allvarliga driftstörningar. CrowdStrikes omfattande avbrott i juli 2024 var ingen cyberattack, men bolagets tekniska rotorsaksanalys visade att en latent läsning utanför minnesgränsen i dess Content Interpreter bidrog till systemkrascher efter en felaktig uppdatering.

Det innebär inte att en CHERI-baserad konstruktion hade förhindrat varje del av händelseförloppet. Men incidenten visar varför organisationer i allt högre grad vill minska hela kategorier av fel, snarare än att enbart förlita sig på upptäckt och åtgärd efter lansering.

Storbritanniens nationella cybersäkerhetscenter, NCSC, argumenterar på liknande sätt: minnessäkerhetsbrister är vanliga och säker utveckling redan från början kan minska det löpande arbetet med patchhantering och incidentrespons. Samtidigt betonar NCSC att patchning fortsatt är nödvändig, särskilt för exponerade och verksamhetskritiska system.

Vad CHERI kan hjälpa mot – och vad tekniken inte löser

Hårdvaruupprätthållna minnesgränser kan minska sannolikheten för, eller konsekvenserna av, vissa fel där minnet korrumperas. Det kan vara särskilt värdefullt för produkter med långa supportperioder eller i miljöer där fel får stora operativa följder.

Men minnessäkerhet är bara ett lager i säkerhetsarbetet. CHERI-baserad hårdvara eliminerar inte brister i identitets- och behörighetsstyrning, osäkra uppdateringsrutiner, felkonfigurationer, social manipulation, risker i leverantörskedjan eller fel i applikationslogik. Organisationer behöver fortfarande säkra utvecklingsrutiner, tester, övervakning, sårbarhetshantering och snabba uppdateringar.

För SCI är den kommersiella frågan alltså bredare än chipets prestanda. Kunderna behöver en trovärdig väg för att integrera CHERI-anpassad hård- och mjukvara utan oacceptabla kompromisser i kostnad, kompatibilitet eller utvecklingsarbete.

Vad EU:s Cyber Resilience Act innebär

EU:s Cyber Resilience Act, CRA, omfattar tillverkare av produkter med digitala delar som görs tillgängliga på EU-marknaden. Sedan den 11 september 2026 måste tillverkare rapportera aktivt utnyttjade sårbarheter och allvarliga incidenter som påverkar produktens säkerhet. En tidig varning ska lämnas inom 24 timmar från det att tillverkaren fått kännedom om händelsen, följd av en mer fullständig anmälan inom 72 timmar. 1718

En minnessäker arkitektur kan hjälpa tillverkare att minska exponeringen för vissa rapporteringspliktiga sårbarheter kopplade till minneskorruption och samtidigt visa en starkare säkerhet-by-design-inriktning. Den innebär däremot inte automatiskt att kraven i CRA uppfylls. Företag behöver fortfarande styrning av produktsäkerheten, incidentdetektering, processer för sårbarhetshantering och rapportering samt övriga tillämpliga åtgärder.

Nästa bevispunkt: användning i stor skala

SCI grundades 2022 och uppges vara en kärnleverantör i Storbritanniens Accelerated CHERI Adoption Programme. Bolaget planerar dessutom att rekrytera 15 personer till sitt team på 35 medarbetare i Sheffield och Cambridge. 1114

Finansieringen på 5 miljoner pund ger SCI utrymme att gå från första tillverkade kisel och initiala beställningar till produktion i större skala. Kärnerbjudandet är enkelt: om reglerna för minnesåtkomst kan tvingas fram i hårdvaran kan vissa sårbarheter stoppas innan de blir ett problem för patchning, drift eller rapportering. Om detta blir en produktkategori med bred användning avgörs av kundintegrationer, utvecklarverktyg och dokumenterad prestanda i verkliga produktionsmiljöer.