Finite State získává 27 milionů dolarů v investičním kole série C na rozšíření zabezpečení zařízení využívajícího AI

Finite State získala 27 milionů dolarů v investičním kole série C, které mají podpořit rozvoj její platformy pro zabezpečení produktů využívající AI a rozšíření mezinárodního působení. Kolo vedly soukromé fondy spravované The O.H.I.O. Fund; zapojily se také CIBC Innovation Banking, Energy Impact Partners, Energize Capital a National Grid Partners.

Společnost se sídlem v Columbusu ve státě Ohio se zaměřuje na problém, jehož význam roste s tím, jak se zrychluje odhalování zranitelností: výrobci potřebují vědět, jaký software skutečně běží v zařízeních, která prodávají. Chyba ve sdílené komponentě může ovlivnit vozidla, zdravotnické vybavení, průmyslové systémy i spotřební elektroniku, ale určit, které hotové produkty tuto komponentu obsahují, může být obtížné.

Finite State plánuje využít získaný kapitál k posílení svého působení na mezinárodních trzích a k vývoji dalších autonomních funkcí platformy. Její technologie kombinuje analýzu softwarových artefaktů s informacemi o zranitelnostech a pracovními postupy pro zajištění souladu s předpisy. Cílem je převést soupis dodaného kódu na rozhodnutí o tom, čemu je třeba věnovat pozornost.

Kontrola skutečně dodávaného softwaru

Propojené produkty se skládají z mnoha částí: operačního systému, open-source knihoven, sad SDK od dodavatelů, balíčků podpory desek a proprietárních aplikací. Výrobci mohou mít pod kontrolou vlastní zdrojový kód, ale mít jen omezený přehled o zkompilovaných komponentách dodávaných jinými dodavateli.

Manifest sestavení popisuje, co má být podle očekávání součástí procesu vývoje. Analýza firmwaru zkoumá artefakt vytvořený tímto procesem. Tento rozdíl je důležitý, když se při balení přidá komponenta, dodavatel upraví knihovnu nebo se závislost zkompiluje přímo do spustitelného souboru.

Dokumentace Finite State k binární analýze popisuje rozbalování obrazů firmwaru, kontejnerů, archivů a spustitelných souborů a následnou identifikaci komponent pomocí binární analýzy složení softwaru. Na zkompilovaný kód se také používá statické testování zabezpečení aplikací, které odhaluje slabiny nad rámec prostého seznamu názvů balíčků.

Výsledný soupis může zahrnovat upravené a staticky linkované komponenty; zjištění se doplňují o informace o zranitelnostech, možnostech jejich zneužití a licencích. Analýza také vyhledává natvrdo zadané přihlašovací údaje, odhalené klíče a problémy s kryptografií. Mezi podporované vstupy patří firmware, sdílené knihovny, binární soubory mobilních aplikací a software třetích stran, a také zdrojový kód, je-li k dispozici.

Na tom stojí hlavní argument společnosti: bezpečnostní rozhodnutí by se měla řídit obsahem hotového produktu, nikoli být zcela závislá na dokumentaci, která jej doprovází.

Od soupisu komponent k rozhodnutí o nápravě

Nalezení zranitelné komponenty je teprve začátek. Produktový tým musí ještě zjistit, zda lze k dotčenému kódu získat přístup, zda je zneužití relevantní pro konfiguraci zařízení a které verze nebo varianty produktu je třeba opravit.

Přehled platformy Finite State popisuje určování priorit na základě dosažitelnosti kódu, informací o možnostech zneužití a kontextu produktu. Cílem je zkrátit dobu, kterou inženýři tráví prověřováním zjištění, jež nepředstavují stejnou míru reálného rizika.

Seznam softwarových komponent (SBOM) zaznamenává, které komponenty produkt obsahuje. VEX (výměna informací o zneužitelnosti zranitelností) doplňuje informace o tom, zda daná zranitelnost produkt ovlivňuje. Tyto záznamy společně pomáhají odlišit otázku inventury — zda je komponenta přítomna — od posouzení rizika, které představuje.

Finite State uvádí, že její platforma dokáže identifikovat známé i dosud neznámé zranitelnosti. Spojuje přitom různé druhy analýzy: porovnávání komponent se zveřejněnými problémy a zkoumání slabin ve zkompilovaném kódu. Užitečnost výsledku závisí na důkazech, o něž se zjištění opírá, a na jeho relevanci pro dané zařízení, nikoli pouze na počtu vytvořených upozornění.

Automatizace pomocí AI stále vyžaduje důkazy o kvalitě analýzy

Jedním z praktických příkladů práce společnosti s AI je její agent pro hodnocení rozbalování s využitím AI, představený dříve v roce 2026. Agent vyhodnocuje, nakolik úplně byl nahraný artefakt rozbalen, a vysvětluje nedostatky, které mohou omezit následnou analýzu.

Tento krok je důležitý, protože skener nemůže posoudit kód, který se nepodařilo úspěšně rozbalit. Šifrované kontejnery, vnořené archivy nebo neobvyklé balení firmwaru mohou způsobit, že část artefaktu zůstane mimo dosah skeneru.

Finite State uvádí, že agent poskytuje hodnocení kvality, určuje pravděpodobné příčiny neúplného rozbalení a doporučuje kroky, jako je dešifrování obsahu, jeho místní rozbalení nebo nové zabalení archivu před dalším nahráním. Automatizace týmům pomáhá pochopit, na co se analýza vztahovala, místo aby každé dokončené skenování považovaly za stejně úplné.

Širší platforma propojuje tuto analýzu s pracovními postupy, které lze kontrolovat. Podle zveřejněného popisu architektury se firmware, binární soubory, zdrojový kód, dodavatelské SBOM a dokumentace začleňují do společného procesu, který vytváří bezpečnostní zjištění, důkazy o ověření a zprávy.

Propojení zabezpečení produktů s dodržováním předpisů

Oznámení o financování staví regulační tlak vedle rychlejšího odhalování zranitelností jako jeden z faktorů zvyšujících poptávku. Výrobci stále častěji potřebují doklady o tom, jak identifikovali softwarová rizika, posoudili jejich dopad a řešili je v průběhu celého životního cyklu produktu.

Finite State vytváří SBOM, záznamy VEX a balíčky dokumentace prokazující soulad s předpisy, které jsou propojené s produktovými artefakty. Její platforma propojuje také architekturu, bezpečnostní požadavky a ověřovací činnosti, a pomáhá tak týmům propojit rozhodnutí při návrhu se softwarem, který se dostane k zákazníkovi.

Díky tomuto propojení lze snáze sledovat změny mezi jednotlivými vydáními. Když dodavatel aktualizuje komponentu nebo výrobce uvede novou verzi firmwaru, musí bezpečnostní dokumentace zohlednit nový artefakt, místo aby zůstala statickým dokumentem z dřívějšího vydání.

Oznámení obsahuje také zpětnou vazbu od společnosti JET OPTOELECTRONICS, dodavatele elektroniky pro automobilový průmysl a chytrých kokpitů Tier 1. Bruce Lin, seniorní manažer jejího softwarového oddělení, vyzdvihl přehled, který Finite State poskytuje o dodaných zařízeních, přímých i tranzitivních závislostech a dokladech o souladu s předpisy přiřazených k požadavkům, jimž dodavatel čelí.

Financování další fáze zabezpečení produktů

Zakladatel a generální ředitel Matt Wyckhouse popsal problém jako prohlubující se rozdíl mezi rychlostí odhalování zranitelností s pomocí AI a schopností výrobců určit, kterých produktů se týkají. Nové financování podpoří jak rozvoj platformy, tak její širší mezinárodní působnost.

Složení skupiny investorů zároveň odráží široké spektrum systémů vystavených rizikům v dodavatelském řetězci softwaru. Zabezpečení připojených zařízení přesahuje rámec tradiční IT a zasahuje do energetické infrastruktury, průmyslového provozu, dopravy i zdravotnictví — tedy prostředí, kde může identifikace závady a nasazení bezpečné opravy vyžadovat zapojení mnoha stran.

Financování Series C od Finite State podpoří strategii zaměřenou na to, aby bylo možné tato rozhodnutí lépe zvládat: prověřovat dodaný software, propojovat zjištění s dotčenými produkty, stanovovat priority podle skutečné míry ohrožení a uchovávat doklady o přijatých opatřeních. S tím, jak AI zrychluje vyhledávání potenciálních slabin, spočívá obchodní příležitost v pomoci výrobcům proměnit rostoucí objem těchto zjištění v obhajitelné kroky.