تجمع Finite State تمويلاً بقيمة 27 مليون دولار في جولة من الفئة C لتوسيع أمن الأجهزة المدعوم بالذكاء الاصطناعي

جمعت Finite State تمويلاً بقيمة 27 مليون دولار في جولة من الفئة C، بهدف توسيع منصتها لأمن المنتجات المدعومة بالذكاء الاصطناعي وعملياتها الدولية. وقادت الجولة صناديق خاصة يديرها The O.H.I.O. Fund، بمشاركة CIBC Innovation Banking وEnergy Impact Partners وEnergize Capital وNational Grid Partners.

تركز الشركة، التي تتخذ من كولومبوس في ولاية أوهايو مقراً لها، على مشكلة تزداد أهمية مع تسارع اكتشاف الثغرات الأمنية: إذ يحتاج المصنّعون إلى معرفة البرمجيات التي تعمل فعلياً داخل الأجهزة التي يبيعونها. فقد يؤثر خلل في مكوّن مشترك في المركبات أو المعدات الطبية أو الأنظمة الصناعية أو الإلكترونيات الاستهلاكية، لكن تحديد المنتجات النهائية التي تحتوي على هذا المكوّن قد يكون صعباً.

تعتزم Finite State استخدام رأس المال لتعزيز حضورها في الأسواق الدولية وتطوير مزيد من إمكانات المنصة الذاتية التشغيل. وتجمع تقنيتها بين تحليل الآثار البرمجية ومعلومات الثغرات الأمنية وسير عمل الامتثال، سعياً إلى تحويل جرد الشيفرة البرمجية التي تُطرح في المنتجات إلى قرارات بشأن ما يستدعي الاهتمام.

فحص البرمجيات التي تُطرح فعلياً في المنتجات

تُركّب المنتجات المتصلة من مصادر عديدة، منها نظام التشغيل والمكتبات مفتوحة المصدر وحزم تطوير البرمجيات (SDKs) التي يقدمها الموردون وحزم دعم اللوحات والتطبيقات الاحتكارية. وقد يتحكم المصنّعون في شيفرتهم المصدرية، مع محدودية اطلاعهم على المكوّنات المترجمة التي يوردها بائعون آخرون.

يصف بيان البناء ما يُتوقع أن تتضمنه عملية التطوير. أما تحليل البرامج الثابتة فيفحص الأثر الناتج عن تلك العملية. ويكتسب الفرق بينهما أهمية حين تضيف عملية التغليف مكوّناً، أو يعدّل أحد الموردين مكتبة، أو يُدمج أحد التبعيات مباشرةً في ملف تنفيذي.

يوضح دليل Finite State لتحليل الملفات الثنائية كيفية فك صور البرامج الثابتة والحاويات والأرشيفات والملفات التنفيذية، ثم تحديد المكوّنات باستخدام تحليل تركيب البرمجيات الثنائية. كما يطبّق اختبار أمن التطبيقات الساكن على الشيفرة المترجمة، ويفحص نقاط الضعف بما يتجاوز مجرد سرد أسماء الحزم.

يمكن أن يشمل الجرد الناتج مكوّنات معدّلة ومربوطة ربطاً ساكناً، مع إثراء النتائج بمعلومات عن الثغرات الأمنية والاستغلال والتراخيص. ويبحث التحليل أيضاً عن بيانات اعتماد مضمنة مباشرةً في الشيفرة ومفاتيح مكشوفة ومشكلات تشفيرية. وتشمل المدخلات المدعومة البرامج الثابتة والمكتبات المشتركة والملفات الثنائية لتطبيقات الأجهزة المحمولة وبرمجيات الجهات الخارجية، فضلاً عن الشيفرة المصدرية عند توفرها.

وهذا هو أساس طرح الشركة: ينبغي أن تستند القرارات الأمنية إلى محتويات المنتج النهائي، لا أن تعتمد بالكامل على الوثائق المرفقة به.

تحويل جرد المكوّنات إلى قرار بشأن المعالجة

العثور على مكوّن معرّض للثغرات ليس سوى البداية. فما زال على فريق المنتج تحديد ما إذا كان بالإمكان الوصول إلى الشيفرة المتأثرة، وما إذا كان الاستغلال ذا صلة بتهيئة الجهاز، وأي الإصدارات أو تنويعات المنتج تحتاج إلى إصلاح.

يوضح عرض Finite State للمنصة أن ترتيب الأولويات يستند إلى إمكانية الوصول ومعلومات الاستغلال وسياق المنتج. والهدف هو تقليل الوقت الذي يقضيه المهندسون في التحقق من نتائج لا تمثل المستوى نفسه من التعرض العملي للمخاطر.

يسجل بيان مكونات البرمجيات (SBOM) المكوّنات الموجودة في المنتج. ويضيف تبادل معلومات قابلية استغلال الثغرات (VEX) معلومات حول ما إذا كانت ثغرة معينة تؤثر في ذلك المنتج. وتساعد هذه السجلات مجتمعةً على التمييز بين سؤال يتعلق بالجرد—أي ما إذا كان المكوّن موجوداً—وتقييم للمخاطر التي يشكلها.

تقول Finite State إن منصتها قادرة على تحديد الثغرات الأمنية المعروفة وغير المعروفة سابقاً. ويتطلب ذلك الجمع بين أنواع مختلفة من التحليل: مطابقة المكوّنات مع المشكلات المُفصح عنها، وفحص الشيفرة المترجمة بحثاً عن نقاط الضعف. وتعتمد فائدة النتيجة على الأدلة التي تستند إليها النتيجة ومدى صلتها بالجهاز، لا على عدد التنبيهات الصادرة فحسب.

ما زالت أتمتة الذكاء الاصطناعي تحتاج إلى أدلة على جودة التحليل

ومن الأمثلة العملية على عمل الشركة في مجال الذكاء الاصطناعي وكيل تقييم فكّ الحزم بالذكاء الاصطناعي، الذي طرحته في وقت سابق من عام 2026. ويقيّم الوكيل مدى اكتمال استخراج ملف مرفوع، ويوضح أوجه النقص التي قد تحدّ من التحليل اللاحق.

وتكتسب هذه الخطوة أهميتها لأن الفحص لا يستطيع تقييم شيفرة لم ينجح في استخراجها. فقد تترك الحاويات المشفّرة أو الأرشيفات المتداخلة أو طرق تغليف البرامج الثابتة غير المألوفة جزءاً من الملف خارج نطاق ما يستطيع الماسح فحصه.

تقول Finite State إن الوكيل يقدم تقييماً للجودة، ويحدد الأسباب المرجحة لعدم اكتمال الاستخراج، ويوصي بإجراءات مثل فك تشفير المحتوى أو فك حزمه محلياً أو إعادة تغليف أرشيف قبل رفعه مرة أخرى. وتساعد الأتمتة الفرق على فهم نطاق التحليل، بدلاً من اعتبار كل فحص مكتمل متساوياً في شموله.

وتربط المنصة الأوسع نطاقاً هذا التحليل بسير عمل قابل للمراجعة. وتصف البنية المنشورة للشركة جمع البرامج الثابتة والملفات الثنائية والشيفرة المصدرية وبيانات SBOM المقدمة من الموردين والوثائق ضمن عملية موحدة لإعداد النتائج الأمنية وأدلة التحقق والتقارير.

ربط أمن المنتجات بأعمال الامتثال

يضع إعلان التمويل الضغوط التنظيمية إلى جانب تسريع اكتشاف الثغرات، بوصفهما عاملين يدفعان الطلب. وتحتاج الشركات المصنّعة على نحو متزايد إلى أدلة توضّح كيف حدّدت مخاطر البرمجيات، وقيّمت أثرها، وعالجتها على امتداد دورة حياة المنتج.

تُنشئ Finite State قوائم مكونات البرمجيات (SBOMs) وسجلات VEX وحزم امتثال مرتبطة بمكونات المنتج. كما تربط منصتها بين البنية المعمارية ومتطلبات الأمن وأعمال التحقق، ما يساعد الفرق على ربط قرار تصميمي بالبرمجيات التي تصل إلى العميل.

قد يسهّل هذا الترابط تتبّع التغييرات من إصدار إلى آخر. فعندما يحدّث أحد المورّدين مكوّناً أو تشحن شركة مصنّعة صورة جديدة للبرمجيات الثابتة، ينبغي أن تعكس أدلة الأمن المكوّن الجديد، لا أن تظل وثيقة جامدة من إصدار سابق.

يتضمن الإعلان إفادة من JET OPTOELECTRONICS، وهي مورّد من الفئة الأولى للإلكترونيات المستخدمة في السيارات وأنظمة قمرة القيادة الذكية. وسلّط Bruce Lin، وهو مدير أول في قسم البرمجيات بالشركة، الضوء على ما توفره Finite State من رؤية للأجهزة التي جرى شحنها، والتبعيات المباشرة وغير المباشرة، وأدلة الامتثال المرتبطة بالمتطلبات التي تواجهها الشركة المورّدة.

تمويل المرحلة التالية من أمن المنتجات

عرض المؤسس والرئيس التنفيذي Matt Wyckhouse التحدي بوصفه فجوة آخذة في الاتساع بين سرعة اكتشاف الثغرات بمساعدة الذكاء الاصطناعي وقدرة الشركات المصنّعة على تحديد المنتجات المتأثرة. ويدعم التمويل الجديد تطوير المنصة وتوسيع الحضور الدولي للشركة.

تعكس مجموعة المستثمرين أيضاً تنوّع الأنظمة المعرضة لمخاطر سلاسل توريد البرمجيات. فأمن الأجهزة المتصلة يتجاوز نطاق تقنية المعلومات التقليدية ليشمل البنية التحتية للطاقة والعمليات الصناعية والنقل والرعاية الصحية؛ وهي بيئات قد يتطلب فيها تحديد خلل ونشر إصلاح آمن مشاركة أطراف عديدة.

تدعم جولة التمويل من الفئة C استراتيجية تهدف إلى جعل هذه القرارات أكثر قابلية للإدارة: فحص البرمجيات التي جرى شحنها، وربط النتائج بالمنتجات المتأثرة بها، وترتيب مستويات التعرض الجوهري حسب الأولوية، والاحتفاظ بأدلة على الاستجابة. ومع تسريع الذكاء الاصطناعي لاكتشاف مواطن الضعف المحتملة، تكمن الفرصة التجارية في مساعدة الشركات المصنّعة على تحويل هذا الحجم المتزايد من النتائج إلى إجراءات يمكن تبريرها.