Finite State nimmt in einer Series-C-Finanzierungsrunde 27 Millionen US-Dollar auf, um die KI-gestützte Gerätesicherheit auszubauen

Finite State hat in einer Series-C-Finanzierungsrunde 27 Millionen US-Dollar aufgenommen, um seine KI-gestützte Plattform für Produktsicherheit und seine internationalen Aktivitäten auszubauen. Die Runde wurde von privaten Fonds angeführt, die von The O.H.I.O. Fund verwaltet werden. Beteiligt waren außerdem CIBC Innovation Banking, Energy Impact Partners, Energize Capital und National Grid Partners.

Das in Columbus im US-Bundesstaat Ohio ansässige Unternehmen konzentriert sich auf ein Problem, das mit der beschleunigten Entdeckung von Schwachstellen immer bedeutsamer wird: Hersteller müssen wissen, welche Software tatsächlich auf den von ihnen verkauften Geräten läuft. Eine Schwachstelle in einer gemeinsam genutzten Komponente kann Fahrzeuge, medizinische Geräte, Industriesysteme oder Unterhaltungselektronik betreffen. Es kann jedoch schwierig sein festzustellen, welche fertigen Produkte diese Komponente enthalten.

Finite State will das Kapital nutzen, um seine Präsenz auf internationalen Märkten auszubauen und autonomere Plattformfunktionen zu entwickeln. Die Technologie des Unternehmens kombiniert die Analyse von Softwareartefakten mit Informationen zu Schwachstellen und Compliance-Prozessen. Ziel ist es, aus einem Inventar der ausgelieferten Software abzuleiten, was Aufmerksamkeit erfordert.

Die tatsächlich ausgelieferte Software untersuchen

Vernetzte Produkte setzen sich aus Komponenten verschiedenster Quellen zusammen: einem Betriebssystem, Open-Source-Bibliotheken, SDKs von Zulieferern, Board-Support-Paketen und proprietären Anwendungen. Hersteller haben möglicherweise die Kontrolle über ihren eigenen Quellcode, während sie nur begrenzten Einblick in kompilierte Komponenten anderer Anbieter haben.

Ein Build-Manifest beschreibt, welche Bestandteile ein Entwicklungsprozess voraussichtlich umfassen soll. Die Firmwareanalyse untersucht das von diesem Prozess erzeugte Artefakt. Dieser Unterschied ist wichtig, wenn beim Verpacken eine Komponente hinzugefügt wird, ein Zulieferer eine Bibliothek verändert oder eine Abhängigkeit direkt in eine ausführbare Datei kompiliert wird.

In der Dokumentation zur Binäranalyse von Finite State wird beschrieben, wie Firmware-Images, Container, Archive und ausführbare Dateien entpackt und anschließend mithilfe einer binären Software-Kompositionsanalyse die enthaltenen Komponenten ermittelt werden. Außerdem wird statische Anwendungssicherheitstestung auf kompilierten Code angewendet, um Schwachstellen aufzuspüren, die über eine einfache Liste von Paketnamen hinausgehen.

Das daraus erstellte Inventar kann veränderte und statisch eingebundene Komponenten umfassen. Die Ergebnisse werden um Informationen zu Schwachstellen, Exploits und Lizenzen ergänzt. Bei der Analyse wird außerdem nach fest im Code hinterlegten Zugangsdaten, offengelegten Schlüsseln und kryptografischen Problemen gesucht. Zu den unterstützten Eingaben zählen Firmware, gemeinsam genutzte Bibliotheken, Binärdateien mobiler Anwendungen und Software von Drittanbietern sowie, sofern verfügbar, Quellcode.

Darauf gründet sich das zentrale Argument des Unternehmens: Sicherheitsentscheidungen sollten sich nach dem Inhalt des fertigen Produkts richten und nicht vollständig von der Dokumentation abhängen, die dem Produkt beiliegt.

Vom Komponentenverzeichnis zur Entscheidung über Abhilfemaßnahmen

Eine anfällige Komponente zu finden, ist erst der Anfang. Ein Produktteam muss weiterhin feststellen, ob auf den betroffenen Code zugegriffen werden kann, ob ein Exploit für die Konfiguration des Geräts relevant ist und welche Versionen oder Produktvarianten behoben werden müssen.

Die Plattformübersicht von Finite State beschreibt eine Priorisierung anhand der Erreichbarkeit, von Informationen zu Exploits und des Produktkontexts. Ziel ist es, den Zeitaufwand für Entwickler zu verringern, die Ergebnisse untersuchen, obwohl sie nicht dasselbe Maß an praktischer Gefährdung darstellen.

Eine Software-Stückliste (SBOM) führt die Komponenten eines Produkts auf. Der Vulnerability Exploitability eXchange (VEX) ergänzt Informationen dazu, ob eine bestimmte Schwachstelle das jeweilige Produkt betrifft. Zusammengenommen helfen diese Aufzeichnungen, die Frage nach dem Inventar – ob eine Komponente vorhanden ist – von einer Bewertung des dadurch entstehenden Risikos zu unterscheiden.

Finite State zufolge kann seine Plattform bekannte und bislang unbekannte Schwachstellen identifizieren. Dazu werden verschiedene Analysearten kombiniert: Komponenten werden mit offengelegten Sicherheitsproblemen abgeglichen und kompilierter Code wird auf Schwachstellen untersucht. Wie nützlich das Ergebnis ist, hängt von den Belegen für einen Befund und seiner Relevanz für das Gerät ab – nicht einfach von der Anzahl der ausgegebenen Warnmeldungen.

KI-Automatisierung erfordert weiterhin Belege für die Analysequalität

Ein konkretes Beispiel für die KI-Arbeit des Unternehmens ist der Anfang 2026 vorgestellte KI-Agent zur Bewertung der Entpackung. Der Agent bewertet, wie vollständig ein hochgeladenes Artefakt extrahiert wurde, und erläutert Lücken, die die anschließende Analyse einschränken können.

Dieser Schritt ist wichtig, denn ein Scan kann keinen Code bewerten, der nicht erfolgreich extrahiert wurde. Verschlüsselte Container, verschachtelte Archive oder ungewöhnliche Firmware-Paketformate können dazu führen, dass Teile eines Artefakts für den Scanner unsichtbar bleiben.

Finite State zufolge liefert der Agent eine Qualitätsbewertung, ermittelt wahrscheinliche Ursachen für eine unvollständige Extraktion und empfiehlt Maßnahmen wie das Entschlüsseln von Inhalten, das lokale Entpacken oder das erneute Verpacken eines Archivs vor einem weiteren Upload. Die Automatisierung hilft Teams zu verstehen, welche Inhalte von der Analyse abgedeckt wurden, statt jeden abgeschlossenen Scan als gleichermaßen umfassend zu betrachten.

Die umfassendere Plattform verknüpft diese Analyse mit nachvollziehbaren Arbeitsabläufen. Die veröffentlichte Architektur beschreibt, wie Firmware, Binärdateien, Quellcode, SBOMs von Zulieferern und Dokumentation in einem gemeinsamen Prozess zusammengeführt werden, um Sicherheitsbefunde, Nachweise für deren Überprüfung und Berichte zu erstellen.

Produktsicherheit mit Compliance-Anforderungen verknüpfen

Die Finanzierungsankündigung nennt neben der schnelleren Entdeckung von Schwachstellen auch den regulatorischen Druck als Treiber der Nachfrage. Hersteller benötigen zunehmend Nachweise dafür, wie sie Softwarerisiken identifiziert, ihre Auswirkungen bewertet und sie über den gesamten Produktlebenszyklus hinweg behoben haben.

Finite State erstellt SBOMs, VEX-Datensätze und Compliance-Pakete, die den Produktartefakten zugeordnet sind. Die Plattform verknüpft außerdem Architektur, Sicherheitsanforderungen und Verifizierungsarbeiten. So können Teams eine Designentscheidung mit der Software in Verbindung bringen, die schließlich beim Kunden ankommt.

Durch diese Verknüpfung lassen sich Änderungen zwischen einzelnen Releases leichter nachverfolgen. Aktualisiert ein Zulieferer eine Komponente oder veröffentlicht ein Hersteller ein neues Firmware-Image, müssen die Sicherheitsnachweise das neue Artefakt berücksichtigen, statt als statisches Dokument aus einem früheren Release unverändert zu bleiben.

Die Ankündigung enthält auch eine Stellungnahme von JET OPTOELECTRONICS, einem Tier-1-Zulieferer von Automobilelektronik und intelligenten Cockpits. Bruce Lin, ein leitender Manager in der Softwareabteilung des Unternehmens, hob hervor, dass Finite State Einblick in ausgelieferte Geräte, direkte und transitive Abhängigkeiten sowie Compliance-Nachweise bietet, die den Anforderungen zugeordnet sind, denen sich der Zulieferer gegenübersieht.

Finanzierung der nächsten Phase der Produktsicherheit

Gründer und CEO Matt Wyckhouse beschrieb die Herausforderung als wachsende Lücke zwischen der Geschwindigkeit, mit der KI-gestützte Verfahren Schwachstellen entdecken, und der Fähigkeit der Hersteller, betroffene Produkte zu identifizieren. Die neue Finanzierung unterstützt sowohl die Weiterentwicklung der Plattform als auch den Ausbau der internationalen Präsenz.

Die Investorengruppe spiegelt auch die Bandbreite der Systeme wider, die Risiken in der Softwarelieferkette ausgesetzt sind. Die Sicherheit vernetzter Geräte betrifft längst nicht mehr nur die herkömmliche IT, sondern auch Energieinfrastruktur, Industriebetriebe, Transportwesen und Gesundheitswesen – Bereiche, in denen die Identifizierung eines Fehlers und die Bereitstellung einer sicheren Fehlerbehebung viele Beteiligte einbeziehen kann.

Die Series-C-Finanzierung von Finite State unterstützt eine Strategie, die darauf abzielt, diese Entscheidungen besser handhabbar zu machen: die ausgelieferte Software untersuchen, Erkenntnisse mit den betroffenen Produkten verknüpfen, relevante Risiken priorisieren und Nachweise für die ergriffenen Maßnahmen sichern. Da KI die Suche nach potenziellen Schwachstellen beschleunigt, besteht die Geschäftschance darin, Herstellern dabei zu helfen, die wachsende Zahl von Erkenntnissen in belastbare Maßnahmen umzusetzen.