Finite State rejser 27 millioner dollars i Series C-finansiering for at udvide AI-drevet enhedssikkerhed

Finite State har rejst 27 millioner dollars i Series C-finansiering for at udvide sin AI-drevne platform til produktsikkerhed og sine internationale aktiviteter. Runden blev ledet af private fonde forvaltet af The O.H.I.O. Fund med deltagelse af CIBC Innovation Banking, Energy Impact Partners, Energize Capital og National Grid Partners.

Virksomheden, der har base i Columbus i Ohio, fokuserer på et problem, der bliver stadig vigtigere, efterhånden som opdagelsen af sårbarheder går hurtigere: Producenter har brug for at vide, hvilken software der rent faktisk kører på de enheder, de sælger. En fejl i en delt komponent kan påvirke køretøjer, medicinsk udstyr, industrielle systemer eller forbrugerelektronik, men det kan være vanskeligt at fastslå, hvilke færdige produkter der indeholder komponenten.

Finite State planlægger at bruge kapitalen til at styrke sin tilstedeværelse på internationale markeder og udvikle mere selvstændige funktioner på platformen. Teknologien kombinerer analyse af softwareartefakter med efterretninger om sårbarheder og arbejdsgange for compliance med det formål at omsætte en opgørelse over leveret kode til beslutninger om, hvad der kræver opmærksomhed.

Undersøgelse af den software, der faktisk leveres

Forbundne produkter sammensættes af mange forskellige dele: et operativsystem, open source-biblioteker, leverandørers SDK’er, boardsupportpakker og proprietære applikationer. Producenterne kan have kontrol over deres egen kildekode, men kun begrænset indsigt i kompilerede komponenter fra andre leverandører.

Et buildmanifest beskriver, hvad en udviklingsproces forventes at indeholde. Firmwareanalyse undersøger det artefakt, processen resulterer i. Forskellen er vigtig, når pakningen tilføjer en komponent, en leverandør ændrer et bibliotek, eller en afhængighed kompileres direkte ind i en eksekverbar fil.

Finite States dokumentation om binæranalyse beskriver, hvordan firmwareaftryk, containere, arkiver og eksekverbare filer pakkes ud, hvorefter komponenterne identificeres ved hjælp af binær analyse af softwaresammensætning. Derudover anvendes statisk sikkerhedstest af applikationer på kompileret kode for at undersøge svagheder ud over en simpel liste over pakkenavne.

Den resulterende opgørelse kan omfatte ændrede og statisk linkede komponenter, og resultaterne suppleres med oplysninger om sårbarheder, exploits og licenser. Analysen søger også efter hårdkodede loginoplysninger, eksponerede nøgler og kryptografiske problemer. De understøttede input omfatter firmware, delte biblioteker, binærfiler fra mobilapplikationer og tredjepartssoftware samt kildekode, når den er tilgængelig.

Dette er grundlaget for virksomhedens budskab: Sikkerhedsbeslutninger bør baseres på indholdet af det færdige produkt frem for udelukkende at bero på den dokumentation, der følger med det.

Fra komponentopgørelse til beslutning om afhjælpning

At finde en sårbar komponent er kun begyndelsen. Produktteamet skal stadig afgøre, om der er adgang til den berørte kode, om et exploit er relevant for enhedens konfiguration, og hvilke versioner eller produktvarianter der skal have en rettelse.

Finite States platformoversigt beskriver en prioritering baseret på tilgængelighed, efterretninger om exploits og produktkontekst. Målet er at mindske den tid, ingeniører bruger på at undersøge fund, der ikke udgør samme grad af reel eksponering.

En stykliste over et produkts software, eller SBOM, registrerer produktets komponenter. Vulnerability Exploitability eXchange, eller VEX, tilføjer oplysninger om, hvorvidt en bestemt sårbarhed påvirker produktet. Tilsammen gør disse optegnelser det lettere at skelne mellem spørgsmålet om, hvorvidt en komponent er til stede, og en vurdering af den risiko, komponenten medfører.

Finite State oplyser, at platformen kan identificere kendte og hidtil ukendte sårbarheder. Det kræver forskellige analysetyper: at sammenholde komponenter med offentliggjorte sårbarheder og undersøge kompileret kode for svagheder. Resultatets anvendelighed afhænger af dokumentationen bag et fund og dets relevans for enheden – ikke blot af antallet af genererede advarsler.

AI-automatisering kræver stadig dokumentation for analysekvaliteten

Et konkret eksempel på virksomhedens AI-arbejde er dens AI-agent til evaluering af udpakning, som blev lanceret tidligere i 2026. Agenten vurderer, hvor fuldstændigt et uploadet artefakt blev pakket ud, og forklarer eventuelle mangler, der kan begrænse den efterfølgende analyse.

Dette trin er vigtigt, fordi en scanning ikke kan vurdere kode, som det ikke er lykkedes at pakke ud. Krypterede containere, indlejrede arkiver eller usædvanlig firmwarepakning kan betyde, at dele af et artefakt ikke er synlige for scanneren.

Finite State oplyser, at agenten giver en kvalitetsvurdering, identificerer sandsynlige årsager til ufuldstændig udpakning og anbefaler handlinger som at dekryptere indhold, pakke det ud lokalt eller pakke et arkiv om, før det uploades igen. Automatiseringen hjælper teams med at forstå, hvad analysen dækkede, i stedet for at betragte alle gennemførte scanninger som lige omfattende.

Den bredere platform knytter analysen til arbejdsgange, der kan gennemgås. Virksomhedens offentliggjorte arkitektur beskriver, hvordan firmware, binærfiler, kildekode, leverandørers SBOM’er og dokumentation samles i en fælles proces, der genererer sikkerhedsresultater, dokumentation for verifikation og rapporter.

At forbinde produktsikkerhed med compliancearbejde

Finansieringsmeddelelsen peger på det regulatoriske pres og den hurtigere opdagelse af sårbarheder som drivkræfter bag efterspørgslen. Producenter har i stigende grad brug for dokumentation, der viser, hvordan de har identificeret softwarerisici, vurderet deres indvirkning og håndteret dem gennem hele produktets livscyklus.

Finite State genererer SBOM’er, VEX-poster og compliancepakker, der er knyttet til produktartefakter. Platformen forbinder også arkitektur, sikkerhedskrav og verifikationsarbejde og hjælper teams med at knytte en designbeslutning til den software, der ender hos kunden.

Denne forbindelse kan gøre det nemmere at følge ændringer fra en version til den næste. Når en leverandør opdaterer en komponent, eller en producent udsender et nyt firmwarebillede, skal sikkerhedsdokumentationen afspejle det nye artefakt i stedet for at forblive et statisk dokument fra en tidligere version.

Meddelelsen indeholder en udtalelse fra JET OPTOELECTRONICS, en Tier 1-leverandør af bilelektronik og smartcockpits. Bruce Lin, seniorchef i virksomhedens softwareafdeling, fremhævede Finite States overblik over enheder, der er sendt ud, direkte og transitive afhængigheder samt dokumentation for compliance, der er knyttet til de krav, leverandøren skal opfylde.

Finansiering af næste fase inden for produktsikkerhed

Grundlægger og CEO Matt Wyckhouse beskrev udfordringen som en voksende kløft mellem tempoet i AI-assisteret opdagelse af sårbarheder og producenternes evne til at identificere berørte produkter. Den nye finansiering skal understøtte både videreudvikling af platformen og en større international tilstedeværelse.

Investorgruppen afspejler også bredden af de systemer, der er udsat for risici i softwareforsyningskæden. Sikkerhed for forbundne enheder rækker ud over traditionel it og omfatter strømforsyningsinfrastruktur, industridrift, transport og sundhedspleje – miljøer, hvor det kan involvere mange parter at identificere en fejl og udrulle en sikker rettelse.

Finite States Series C-finansiering understøtter en strategi, der skal gøre disse beslutninger mere håndterbare: Undersøg den software, der er sendt ud, forbind fundene med de produkter, de påvirker, prioritér væsentlig eksponering, og dokumentér indsatsen. I takt med at AI gør det hurtigere at finde potentielle svagheder, består den kommercielle mulighed i at hjælpe producenter med at omsætte den voksende mængde fund til velbegrundede handlinger.