SCI Semiconductor залучила £5 млн на масштабування чипів ICENI із захищеною пам’яттю

Новий раунд фінансування SCI Semiconductor на £5 млн — це перевірка комерційної життєздатності давньої ідеї кібербезпеки: не шукати й латати кожну помилку роботи з пам’яттю вже після написання програмного коду, а запобігати частині таких помилок у самій архітектурі процесора. Компанія зі Шеффілда спрямує кошти на збільшення випуску чипів ICENI та створення продукту нового покоління. 36

Хто інвестував і на що підуть гроші

Перепідписаний інвестиційний раунд очолили PXN Ventures і Mercia Ventures — керівники відповідних фондів Northern Powerhouse Investment Fund II. У ньому також взяли участь спеціалізований кібербезпековий інвестор Osney Capital, американська Black Opal Ventures і приватні інвестори. 36

Найближчий пріоритет SCI — масштабування виробництва у відповідь на попит на ICENI та подальша розробка чипів. Компанія вже виготовила перші пристрої й повідомляє про замовлення на суму понад £2 млн. Також вона повідомляє про державні контракти на £7,7 млн і партнерства з Google Research та Microsoft. 612

Ці показники свідчать про ранній ринковий інтерес, однак головне випробування ще попереду: інтерес потрібно перетворити на стабільне впровадження. Для цього клієнтам потрібне поєднання сумісного «заліза», програмних інструментів розробки та прикладного програмного забезпечення.

У чому відмінність ICENI

ICENI побудовано на CHERI — архітектурі обчислень на основі можливостей доступу, що виросла з досліджень, підтриманих у Великій Британії. CHERI використовує покажчики з контролем безпеки пам’яті та захищену ізоляцію компонентів, щоб регулювати доступ програм до пам’яті. Уряд Великої Британії характеризує цей підхід як безпеку, закладену в проєктування: він має посилити захист систем і усунути багато поширених вразливостей, пов’язаних із пам’яттю.

Практично це означає, що такі класи збоїв, як недійсний доступ до пам’яті або вихід за межі виділеної ділянки, мають бути складнішими для експлуатації. Це відрізняється від моделі, де захисні перевірки виконуються лише на рівні програмного забезпечення після написання та розгортання коду.

Потенціал значний, адже помилки безпеки пам’яті залишаються поширеним джерелом уразливостей. У матеріалах британського уряду наведено оцінку досліджень Google і Microsoft: на помилки безпеки пам’яті припадає 70% поточних кіберуразливостей.

Чому безпека пам’яті стала бізнес-проблемою

Помилки роботи з пам’яттю — не лише теоретичний ризик для кібербезпеки: вони можуть спричиняти масштабні збої в роботі систем. Інцидент CrowdStrike у липні 2024 року не був кібератакою, проте технічний аналіз першопричин компанії встановив, що приховане читання за межами масиву даних у Content Interpreter стало одним із чинників падіння систем після проблемного оновлення.

Це не означає, що архітектура на базі CHERI запобігла б кожному чиннику того інциденту. Але випадок показує, чому організації дедалі більше зацікавлені у зниженні ризику цілих категорій помилок, а не лише у виявленні та виправленні дефектів після релізу.

Національний центр кібербезпеки Великої Британії (NCSC) висуває подібний стратегічний аргумент: вразливості, пов’язані з безпекою пам’яті, трапляються часто, а розробка з безпекою за проєктуванням може зменшити постійне навантаження на керування патчами та реагування на інциденти. Водночас NCSC наголошує, що оновлення й виправлення залишаються необхідними, особливо для доступних ззовні та критичних систем.

Де CHERI допомагає — і де ні

Апаратно контрольовані межі пам’яті можуть знизити ймовірність або наслідки частини помилок пошкодження пам’яті. Це особливо цінно для продуктів із тривалим життєвим циклом підтримки або середовищ, де відмова системи має серйозні операційні наслідки.

Втім, безпека пам’яті — лише один із рівнів захисту. Обладнання на базі CHERI не усуває проблеми з ідентифікацією та контролем доступу, небезпечними процесами оновлення, хибними конфігураціями, соціальною інженерією, ризиками ланцюга постачання або логічними помилками в застосунках. Організаціям однаково потрібні безпечні практики розробки, тестування, моніторинг, управління вразливостями та своєчасні оновлення.

Тому для SCI комерційне питання ширше за продуктивність чипа: клієнтам знадобиться переконливий шлях інтеграції апаратного й програмного забезпечення з підтримкою CHERI у реальні продукти без неприйнятних втрат у вартості, сумісності чи швидкості розробки.

Що змінює Cyber Resilience Act

Вимоги Європейського акта про кіберстійкість (Cyber Resilience Act, CRA) щодо звітування поширюються на виробників продуктів із цифровими елементами. Із 11 вересня 2026 року вони мають повідомляти про активно експлуатовані вразливості та серйозні інциденти, які впливають на безпеку продукту. Попереднє повідомлення треба подати не пізніше ніж через 24 години після виявлення, а повніше — протягом 72 годин. 1718

Архітектура з безпекою пам’яті може допомогти виробникам зменшити вплив частини вразливостей, пов’язаних із пошкодженням пам’яті, що підлягають звітуванню, а також продемонструвати сильніший підхід до безпеки за проєктуванням. Але автоматичної відповідності CRA вона не забезпечує. Вимоги регламенту все одно передбачають управління безпекою продукту, виявлення інцидентів, роботу з уразливостями, процеси звітування та інші застосовні обов’язки.

Наступна перевірка — впровадження у великому масштабі

SCI, заснована 2022 року, також, за наявними повідомленнями, є ключовим постачальником британської програми Accelerated CHERI Adoption Programme. Компанія планує додати 15 посад до команди з 35 працівників у Шеффілді та Кембриджі. 1114

Раунд на £5 млн дає SCI ресурс перейти від перших кремнієвих зразків і замовлень до виробництва у більшому масштабі. Її ключова теза проста: якщо правила доступу до пам’яті можна забезпечити на рівні обладнання, частину вразливостей можна зупинити до того, як вони перетворяться на проблему з патчами, збоєм системи або обов’язковим розкриттям інформації. Чи стане ця ідея масовою категорією продуктів, залежатиме від інтеграції у клієнтів, зрілості інструментів для розробників і підтвердженої продуктивності у робочих системах.