Finite State keräsi 27 miljoonaa dollaria C-sarjan rahoituskierroksella laajentaakseen tekoälypohjaista laiteturvallisuutta

Finite State on kerännyt 27 miljoonaa dollaria C-sarjan rahoituskierroksella laajentaakseen tekoälypohjaista tuoteturvallisuusalustaansa ja kansainvälistä toimintaansa. Kierrosta johti The O.H.I.O. Fundin hallinnoimat yksityiset rahastot, ja siihen osallistuivat myös CIBC Innovation Banking, Energy Impact Partners, Energize Capital ja National Grid Partners.

Ohiossa Columbuksessa toimiva yritys keskittyy ongelmaan, jonka merkitys kasvaa haavoittuvuuksien löytämisen nopeutuessa: valmistajien on tiedettävä, mitä ohjelmistoja niiden myymissä laitteissa todella käytetään. Jaetun komponentin haavoittuvuus voi vaikuttaa ajoneuvoihin, lääkinnällisiin laitteisiin, teollisuusjärjestelmiin tai kulutuselektroniikkaan, mutta sen selvittäminen, mitkä valmiit tuotteet sisältävät kyseisen komponentin, voi olla vaikeaa.

Finite State aikoo käyttää pääoman kansainvälisen toimintansa vahvistamiseen ja alustansa entistä autonomisempien ominaisuuksien kehittämiseen. Sen teknologia yhdistää ohjelmistotuotteiden analysoinnin haavoittuvuustietoon ja vaatimustenmukaisuuden työnkulkuihin. Tavoitteena on muuttaa toimitetun ohjelmiston komponenttiluettelo päätöksiksi siitä, mihin on puututtava.

Toimitettavan ohjelmiston tarkastelu

Verkkoon liitetyt tuotteet koostuvat monista eri lähteistä peräisin olevista osista: käyttöjärjestelmästä, avoimen lähdekoodin kirjastoista, toimittajien SDK-kehityspaketeista, piirilevytuen paketeista ja omista sovelluksista. Valmistajat saattavat hallita omaa lähdekoodiaan, mutta niiden näkyvyys muiden toimittajien toimittamiin käännettyihin komponentteihin voi olla rajallinen.

Koontiluettelo kuvaa, mitä kehitysprosessin on tarkoitus sisältää. Laiteohjelmiston analysoinnissa tutkitaan prosessin tuloksena syntyvää ohjelmistotuotetta. Ero on tärkeä, kun pakkaus lisää mukaan komponentin, toimittaja muokkaa kirjastoa tai riippuvuus käännetään suoraan suoritettavaan tiedostoon.

Finite Staten binääriohjelmistojen analysointia koskevissa ohjeissa kuvataan laiteohjelmistokuvien, säilöjen, arkistojen ja suoritettavien tiedostojen purkamista sekä komponenttien tunnistamista binäärimuotoisen ohjelmiston koostumusanalyysin avulla. Lisäksi alustassa käytetään staattista sovellusturvatestausta käännetyn koodin tutkimiseen, jolloin etsitään heikkouksia pelkkää pakettinimien luetteloa laajemmin.

Näin koottu luettelo voi sisältää muokattuja ja staattisesti linkitettyjä komponentteja, ja löydöksiä täydennetään haavoittuvuus-, hyväksikäyttö- ja lisenssitiedoilla. Analyysissä etsitään myös kovakoodattuja tunnistetietoja, paljastuneita avaimia ja salaukseen liittyviä ongelmia. Tuettuja syötteitä ovat laiteohjelmistot, jaetut kirjastot, mobiilisovellusten binääritiedostot ja kolmannen osapuolen ohjelmistot sekä lähdekoodi silloin, kun sitä on saatavilla.

Tämä on yrityksen keskeinen perustelu: tietoturvapäätösten tulisi perustua valmiin tuotteen sisältöön, eikä niiden pitäisi olla täysin mukana toimitettavan dokumentaation varassa.

Komponenttiluettelosta korjauspäätökseen

Haavoittuvan komponentin löytäminen on vasta alkua. Tuotetiimin on edelleen selvitettävä, pääseekö haavoittuvaan koodiin käsiksi, onko hyväksikäyttö merkityksellinen laitteen kokoonpanon kannalta ja mitkä julkaisut tai tuoteversiot on korjattava.

Finite Staten alustan yleiskuvauksessa kerrotaan priorisoinnista, jossa huomioidaan saavutettavuus, hyväksikäyttöä koskeva tieto ja tuotteen konteksti. Tavoitteena on vähentää aikaa, jonka insinöörit käyttävät sellaisten löydösten tutkimiseen, jotka eivät aiheuta käytännössä yhtä suurta altistumisriskiä.

Ohjelmiston osaluettelo eli SBOM kirjaa tuotteen komponentit. Haavoittuvuuden hyödynnettävyystiedot eli VEX kertovat, vaikuttaako tietty haavoittuvuus kyseiseen tuotteeseen. Yhdessä nämä tiedot auttavat erottamaan toisistaan kysymyksen siitä, sisältyykö komponentti tuotteeseen, ja arvion sen aiheuttamasta riskistä.

Finite Staten mukaan sen alusta pystyy tunnistamaan tunnettuja ja aiemmin tuntemattomia haavoittuvuuksia. Tähän yhdistyy erityyppisiä analyysejä: komponenttien vertailu julkistettuihin haavoittuvuuksiin sekä käännetyn koodin heikkouksien tutkiminen. Tulosten hyödyllisyys riippuu löydöksen taustalla olevasta näytöstä ja sen merkityksestä laitteen kannalta, ei pelkästään tuotettujen hälytysten määrästä.

Tekoälyn automaatio edellyttää yhä näyttöä analyysin laadusta

Yksi käytännön esimerkki yrityksen tekoälytyöstä on sen tekoälypohjainen purkamisen arviointiagentti, joka esiteltiin vuoden 2026 alkupuolella. Agentti arvioi, kuinka kattavasti ladattu ohjelmistotuote purettiin, ja selittää puutteet, jotka voivat rajoittaa myöhempää analyysiä.

Tämä vaihe on tärkeä, sillä skannauksessa ei voida arvioida koodia, jota ei ole saatu purettua. Salatut säilöt, sisäkkäiset arkistot tai poikkeukselliset laiteohjelmiston pakkaustavat voivat jättää osan ohjelmistotuotteesta skannerin ulottumattomiin.

Finite Staten mukaan agentti antaa laatuluokituksen, tunnistaa todennäköiset syyt puutteelliseen purkamiseen ja suosittelee toimia, kuten sisällön salauksen purkamista, sen purkamista paikallisesti tai arkiston uudelleenpakkaamista ennen uutta latausta. Automaatio auttaa tiimejä ymmärtämään, mitä analyysi kattoi, sen sijaan että jokaista valmistunutta skannausta pidettäisiin yhtä kattavana.

Laajempi alusta liittää analyysin tarkasteltavissa oleviin työnkulkuihin. Julkaistussa arkkitehtuurikuvauksessa kerrotaan, miten laiteohjelmistot, binääritiedostot, lähdekoodi, toimittajien SBOM-luettelot ja dokumentaatio tuodaan yhteiseen prosessiin, jossa tuotetaan tietoturvalöydöksiä, varmennusnäyttöä ja raportteja.

Tuotteiden tietoturvan yhdistäminen vaatimustenmukaisuuteen

Rahoitusta koskevassa ilmoituksessa sääntelypaine ja haavoittuvuuksien nopeampi löytäminen nostetaan kysynnän ajureiksi. Valmistajat tarvitsevat yhä useammin näyttöä siitä, miten ne ovat tunnistaneet ohjelmistoriskejä, arvioineet niiden vaikutuksia ja puuttuneet niihin tuotteen koko elinkaaren ajan.

Finite State tuottaa SBOM-luetteloita, VEX-tietueita ja vaatimustenmukaisuuspaketteja, jotka liittyvät tuotteen artefakteihin. Alusta yhdistää myös arkkitehtuurin, tietoturvavaatimukset ja varmennustyön, mikä auttaa tiimejä kytkemään suunnitteluratkaisun asiakkaalle toimitettavaan ohjelmistoon.

Tämä yhteys voi helpottaa julkaisusta toiseen tapahtuvien muutosten seurantaa. Kun toimittaja päivittää komponentin tai valmistaja toimittaa uuden laiteohjelmistokuvan, tietoturvanäytön on vastattava uutta artefaktia sen sijaan, että se jäisi aiemmasta julkaisusta peräisin olevaksi staattiseksi dokumentiksi.

Ilmoituksessa esitellään JET OPTOELECTRONICSin, Tier 1 -tason autoelektroniikan ja älykkäiden ohjaamojärjestelmien toimittajan, kokemuksia. Sen ohjelmisto-osaston johtava päällikkö Bruce Lin korosti Finite Staten tarjoamaa näkyvyyttä toimitettuihin laitteisiin ja niiden suoriin ja transitiivisiin riippuvuuksiin sekä vaatimustenmukaisuuden osoittavaa näyttöä, joka on yhdistetty toimittajaan kohdistuviin vaatimuksiin.

Rahoitusta tuotteiden tietoturvan seuraavaan vaiheeseen

Perustaja ja toimitusjohtaja Matt Wyckhouse kuvasi haasteeksi kasvavan kuilun tekoälyn avustaman haavoittuvuuksien löytämisen nopeuden ja valmistajien kyvyn tunnistaa haavoittuvuuksista kärsivät tuotteet välillä. Uusi rahoitus tukee sekä alustan kehittämistä että kansainvälisen toiminnan laajentamista.

Sijoittajaryhmä kuvastaa myös sitä, miten monenlaiset järjestelmät ovat alttiita ohjelmistojen toimitusketjun riskeille. Verkkoon kytkettyjen laitteiden tietoturva ulottuu perinteisen IT:n ulkopuolelle energiainfrastruktuuriin, teolliseen toimintaan, liikenteeseen ja terveydenhuoltoon – ympäristöihin, joissa haavoittuvuuden tunnistaminen ja turvallisen korjauksen käyttöönotto voi edellyttää useiden osapuolten yhteistyötä.

Finite Staten C-sarjan rahoitus tukee strategiaa, jonka tavoitteena on tehdä näistä päätöksistä helpommin hallittavia: tarkastaa toimitettu ohjelmisto, yhdistää havainnot tuotteisiin, joita ne koskevat, asettaa merkittävä altistuminen etusijalle ja säilyttää näyttö siitä, miten tilanteeseen on reagoitu. Kun tekoäly nopeuttaa mahdollisten heikkouksien löytämistä, kaupallinen mahdollisuus piilee siinä, että valmistajia autetaan muuttamaan havaintojen kasvava määrä perusteltaviksi toimenpiteiksi.