SCI Semiconductor huy động 5 triệu bảng cho chip ICENI an toàn bộ nhớ

Vòng gọi vốn 5 triệu bảng của SCI Semiconductor là phép thử thương mại cho một ý tưởng đã được theo đuổi lâu nay trong an ninh mạng: ngăn một số lỗi bộ nhớ ngay ở kiến trúc bộ xử lý, thay vì chỉ cố phát hiện và vá từng lỗi sau khi phần mềm đã được triển khai. Công ty có trụ sở tại Sheffield sẽ dùng vốn để tăng sản lượng chip ICENI và phát triển sản phẩm thế hệ kế tiếp. 36

Ai đầu tư và dòng tiền sẽ được dùng vào đâu?

Vòng vốn được đăng ký vượt mức do PXN Ventures và Mercia Ventures dẫn dắt. Hai đơn vị này quản lý các quỹ cổ phần liên quan thuộc Northern Powerhouse Investment Fund II (NPIF II), một chương trình đầu tư hỗ trợ doanh nghiệp tại miền Bắc nước Anh. Osney Capital — nhà đầu tư chuyên về an ninh mạng — Black Opal Ventures của Mỹ và các nhà đầu tư tư nhân cũng tham gia. 36

Ưu tiên trước mắt của SCI là mở rộng sản xuất ICENI để đáp ứng nhu cầu, đồng thời tiếp tục phát triển chip. Công ty cho biết đã chế tạo các thiết bị đầu tiên, nhận được đơn hàng trị giá hơn 2 triệu bảng, giành các hợp đồng chính phủ tổng trị giá 7,7 triệu bảng và thiết lập quan hệ hợp tác với Google Research cùng Microsoft. 612

Các con số này cho thấy tín hiệu thị trường ban đầu. Tuy nhiên, bài toán lớn hơn là chuyển sự quan tâm thành việc triển khai lâu dài: phần cứng, bộ công cụ phát triển phần mềm và ứng dụng phải vận hành được cùng nhau trong sản phẩm thực tế.

ICENI khác gì so với các chip thông thường?

ICENI dựa trên CHERI, một kiến trúc máy tính dựa trên cơ chế “capability” được phát triển từ các nghiên cứu có hậu thuẫn tại Anh. CHERI sử dụng con trỏ an toàn bộ nhớ và cơ chế cô lập các vùng nhớ để kiểm soát cách phần mềm truy cập bộ nhớ. Chính phủ Anh mô tả đây là cách tiếp cận “an ninh ngay từ thiết kế”, nhằm tăng cường bảo mật hệ thống và loại bỏ nhiều lỗ hổng bảo mật bộ nhớ phổ biến.

Hiểu đơn giản, thiết kế này hướng đến việc khiến những lỗi như truy cập bộ nhớ không hợp lệ hoặc vượt ngoài phạm vi cho phép khó bị khai thác hơn. Đây là khác biệt đáng kể so với cách chỉ dựa vào các bước kiểm tra phần mềm sau khi mã đã được viết và đưa vào sử dụng.

Tiềm năng của công nghệ nằm ở chỗ lỗi an toàn bộ nhớ vẫn là nguồn gốc dai dẳng của các khiếm khuyết bảo mật. Tài liệu của Chính phủ Anh dẫn nghiên cứu từ Google và Microsoft, theo đó lỗi an toàn bộ nhớ chiếm 70% các lỗ hổng an ninh mạng đang tiếp diễn.

Vì sao an toàn bộ nhớ đã trở thành vấn đề kinh doanh?

Lỗi bộ nhớ không chỉ là câu chuyện lý thuyết về bảo mật; chúng còn có thể gây ra sự cố về độ tin cậy vận hành. Sự cố CrowdStrike tháng 7/2024 không phải một cuộc tấn công mạng, nhưng báo cáo phân tích nguyên nhân gốc của công ty xác định một lỗi đọc vượt phạm vi tiềm ẩn trong Content Interpreter đã góp phần gây treo hệ thống sau một bản cập nhật có vấn đề.

Điều đó không có nghĩa thiết kế dựa trên CHERI chắc chắn đã ngăn được mọi yếu tố dẫn đến sự cố này. Nhưng đây là minh họa rõ cho lý do các tổ chức ngày càng quan tâm tới việc giảm cả một nhóm lỗi, thay vì chỉ trông chờ vào phát hiện và khắc phục sau khi phát hành.

Trung tâm An ninh mạng Quốc gia Anh (NCSC) cũng nêu lập luận chiến lược tương tự: lỗ hổng an toàn bộ nhớ rất phổ biến, còn phát triển theo hướng an toàn ngay từ thiết kế có thể giảm gánh nặng liên tục của quản lý bản vá và ứng phó sự cố. Dù vậy, NCSC nhấn mạnh vá lỗi vẫn cần thiết, nhất là với các hệ thống phơi lộ ra Internet hoặc hệ thống trọng yếu.

CHERI giúp được gì — và không giúp được gì?

Ranh giới bộ nhớ được thực thi ở phần cứng có thể làm giảm khả năng xảy ra hoặc mức độ tác động của một số lỗi hỏng bộ nhớ. Điều này đặc biệt đáng giá với sản phẩm có vòng đời hỗ trợ dài, hoặc môi trường mà một sự cố có thể kéo theo hậu quả vận hành lớn.

Tuy nhiên, an toàn bộ nhớ chỉ là một lớp trong chiến lược bảo mật. Phần cứng dựa trên CHERI không loại bỏ lỗi định danh và kiểm soát truy cập, quy trình cập nhật không an toàn, cấu hình sai, lừa đảo xã hội, rủi ro chuỗi cung ứng hay lỗi logic ứng dụng. Tổ chức vẫn cần thực hành phát triển phần mềm an toàn, kiểm thử, giám sát, quản lý lỗ hổng và cập nhật kịp thời.

Vì vậy, câu hỏi thương mại với SCI không chỉ là hiệu năng chip. Khách hàng cần một lộ trình đáng tin cậy để tích hợp phần cứng và phần mềm có hỗ trợ CHERI vào sản phẩm thật, mà không phải đánh đổi quá lớn về chi phí, khả năng tương thích hoặc tốc độ phát triển.

Đạo luật Cyber Resilience Act của EU thay đổi điều gì?

Nghĩa vụ báo cáo theo Đạo luật Khả năng chống chịu mạng của EU (Cyber Resilience Act, CRA) áp dụng với nhà sản xuất các sản phẩm có thành phần số. Kể từ ngày 11/9/2026, doanh nghiệp phải báo cáo các lỗ hổng đang bị khai thác và các sự cố nghiêm trọng ảnh hưởng đến an ninh sản phẩm. Cảnh báo sớm phải được gửi trong vòng 24 giờ kể từ khi nhận biết; thông báo đầy đủ tiếp theo phải được gửi trong 72 giờ. 1718

Kiến trúc an toàn bộ nhớ có thể giúp nhà sản xuất giảm nguy cơ gặp một số lỗ hổng hỏng bộ nhớ thuộc diện phải báo cáo, đồng thời củng cố cách tiếp cận an toàn ngay từ thiết kế. Tuy vậy, đây không phải là cơ chế tự động đem lại tuân thủ CRA. Doanh nghiệp vẫn cần quản trị an ninh sản phẩm, phát hiện sự cố, quy trình xử lý lỗ hổng, quy trình báo cáo và các yêu cầu áp dụng khác.

Cột mốc kế tiếp: triển khai ở quy mô lớn

SCI được thành lập năm 2022, được cho là nhà cung cấp nòng cốt trong Chương trình Thúc đẩy Ứng dụng CHERI của Chính phủ Anh. Công ty cũng dự kiến tuyển thêm 15 vị trí cho đội ngũ 35 người tại Sheffield và Cambridge. 1114

Khoản vốn 5 triệu bảng tạo thêm nguồn lực để SCI đi từ silicon ban đầu và các đơn hàng sớm sang quy mô sản xuất. Đề xuất cốt lõi của công ty khá trực diện: nếu các quy tắc truy cập bộ nhớ được cưỡng chế bằng phần cứng, một số lỗ hổng có thể bị chặn trước khi trở thành vấn đề phải vá, nguyên nhân gây gián đoạn hay sự kiện cần công bố.

Liệu điều này có trở thành một nhóm sản phẩm được triển khai rộng rãi hay không sẽ phụ thuộc vào khả năng tích hợp của khách hàng, độ trưởng thành của công cụ dành cho lập trình viên và hiệu năng đã được chứng minh trong môi trường vận hành thực tế.