Finite State lève 27 millions de dollars lors d’un tour de série C pour développer la sécurité des appareils grâce à l’IA

Finite State a levé 27 millions de dollars lors d’un tour de financement de série C afin de développer sa plateforme de sécurité des produits fondée sur l’IA et ses activités à l’international. Le tour a été mené par des fonds privés gérés par The O.H.I.O. Fund, avec la participation de CIBC Innovation Banking, Energy Impact Partners, Energize Capital et National Grid Partners.

Basée à Columbus, dans l’Ohio, l’entreprise s’attaque à un problème qui prend de l’ampleur à mesure que la découverte des vulnérabilités s’accélère : les fabricants doivent savoir quels logiciels fonctionnent réellement dans les appareils qu’ils vendent. Une faille dans un composant partagé peut toucher des véhicules, du matériel médical, des systèmes industriels ou des appareils électroniques grand public, mais il peut être difficile de déterminer quels produits finis contiennent ce composant.

Finite State prévoit d’utiliser ces fonds pour renforcer sa présence sur les marchés internationaux et développer des fonctionnalités plus autonomes pour sa plateforme. Sa technologie associe l’analyse des artefacts logiciels aux renseignements sur les vulnérabilités et aux processus de conformité, dans le but de transformer l’inventaire du code intégré aux produits commercialisés en décisions sur les éléments à traiter.

Examiner les logiciels réellement intégrés aux produits commercialisés

Les produits connectés sont assemblés à partir de nombreux éléments : un système d’exploitation, des bibliothèques libres, des SDK de fournisseurs, des packages de prise en charge de cartes et des applications propriétaires. Les fabricants peuvent maîtriser leur propre code source tout en ayant une visibilité limitée sur les composants compilés fournis par d’autres fournisseurs.

Un manifeste de compilation décrit les éléments qu’un processus de développement est censé inclure. L’analyse du micrologiciel examine l’artefact produit par ce processus. Cette distinction est importante lorsqu’un processus de conditionnement ajoute un composant, qu’un fournisseur modifie une bibliothèque ou qu’une dépendance est compilée directement dans un exécutable.

La documentation sur l’analyse des binaires de Finite State décrit l’extraction des images de micrologiciel, des conteneurs, des archives et des exécutables, puis l’identification des composants au moyen de l’analyse de composition logicielle des binaires. Elle applique également des tests statiques de sécurité des applications au code compilé, afin d’examiner des faiblesses qui ne se limitent pas à une simple liste de noms de paquets.

L’inventaire obtenu peut inclure des composants modifiés et liés statiquement, et les résultats sont enrichis d’informations sur les vulnérabilités, les exploits et les licences. L’analyse recherche également les identifiants intégrés en dur, les clés exposées et les problèmes cryptographiques. Les éléments pris en charge comprennent les micrologiciels, les bibliothèques partagées, les binaires d’applications mobiles et les logiciels tiers, ainsi que le code source lorsqu’il est disponible.

C’est le fondement de l’argumentaire de l’entreprise : les décisions de sécurité devraient s’appuyer sur le contenu du produit fini, plutôt que de dépendre entièrement de la documentation qui l’accompagne.

Transformer l’inventaire des composants en décision de remédiation

La découverte d’un composant vulnérable n’est qu’un début. Une équipe produit doit encore déterminer si le code concerné est accessible, si un exploit est pertinent compte tenu de la configuration de l’appareil et quelles versions ou variantes du produit doivent être corrigées.

La présentation de la plateforme de Finite State décrit une méthode de hiérarchisation fondée sur l’accessibilité du code, les renseignements sur les exploits et le contexte du produit. L’objectif est de réduire le temps que les ingénieurs consacrent à l’examen de résultats qui ne correspondent pas au même niveau d’exposition concrète.

Une nomenclature logicielle (SBOM) répertorie les composants d’un produit. Le Vulnerability Exploitability eXchange (VEX) indique si une vulnérabilité donnée touche ce produit. Ensemble, ces documents permettent de distinguer une question d’inventaire — un composant est-il présent ? — d’une évaluation du risque qu’il représente.

Finite State indique que sa plateforme peut détecter les vulnérabilités connues et celles qui ne l’étaient pas auparavant. Pour cela, elle combine différentes méthodes d’analyse : la comparaison des composants avec les vulnérabilités divulguées et l’examen du code compilé à la recherche de faiblesses. L’utilité des résultats dépend des éléments qui étayent chaque détection et de leur pertinence pour l’appareil, et non du seul nombre d’alertes générées.

L’automatisation par l’IA nécessite toujours des preuves de la qualité de l’analyse

L’agent IA d’évaluation de l’extraction, présenté plus tôt en 2026, est un exemple concret des travaux de l’entreprise dans le domaine de l’IA. Cet agent évalue dans quelle mesure un artefact téléversé a été extrait dans son intégralité et explique les lacunes susceptibles de limiter l’analyse ultérieure.

Cette étape est importante, car une analyse ne peut pas évaluer du code qui n’a pas été extrait correctement. Des conteneurs chiffrés, des archives imbriquées ou un conditionnement inhabituel du micrologiciel peuvent empêcher le scanner d’accéder à une partie de l’artefact.

Finite State indique que l’agent attribue une note de qualité, repère les causes probables d’une extraction incomplète et recommande des actions telles que le déchiffrement du contenu, son extraction en local ou le reconditionnement d’une archive avant un nouveau téléversement. L’automatisation aide les équipes à comprendre ce que l’analyse a couvert, au lieu de considérer que toutes les analyses menées à terme sont aussi exhaustives les unes que les autres.

La plateforme dans son ensemble relie cette analyse à des processus de vérification. L’architecture publiée par l’entreprise décrit l’intégration des micrologiciels, des binaires, du code source, des SBOM de fournisseurs et de la documentation dans un processus commun permettant de produire des constats de sécurité, des éléments de preuve de vérification et des rapports.

Relier la sécurité des produits à la conformité

L’annonce du financement présente les exigences réglementaires, au même titre que l’accélération de la détection des vulnérabilités, comme un moteur de la demande. Les fabricants doivent de plus en plus apporter des preuves montrant comment ils ont repéré les risques logiciels, évalué leur impact et les ont traités tout au long du cycle de vie des produits.

Finite State génère des nomenclatures logicielles (SBOM), des enregistrements VEX et des dossiers de conformité associés aux artefacts des produits. Sa plateforme relie également l’architecture, les exigences de sécurité et les travaux de vérification, aidant les équipes à faire le lien entre une décision de conception et le logiciel qui parvient au client.

Ce lien peut faciliter le suivi des changements d’une version à l’autre. Lorsqu’un fournisseur met à jour un composant ou qu’un fabricant livre une nouvelle image de micrologiciel, les preuves de sécurité doivent correspondre au nouvel artefact, plutôt que de rester figées dans un document datant d’une version antérieure.

L’annonce comprend le témoignage de JET OPTOELECTRONICS, un fournisseur de rang 1 de composants électroniques automobiles et de systèmes de cockpit intelligent. Bruce Lin, cadre supérieur au sein de son département logiciel, a souligné la visibilité qu’offre Finite State sur les appareils livrés, les dépendances directes et transitives, ainsi que les preuves de conformité mises en correspondance avec les exigences auxquelles le fournisseur doit répondre.

Financer la prochaine étape de la sécurité des produits

Le fondateur et PDG Matt Wyckhouse a décrit le défi comme un écart qui se creuse entre la vitesse de détection des vulnérabilités assistée par l’IA et la capacité des fabricants à identifier les produits concernés. Le nouveau financement soutient à la fois le développement de la plateforme et l’élargissement de sa présence à l’international.

Le groupe d’investisseurs reflète également la diversité des systèmes exposés aux risques liés à la chaîne d’approvisionnement logicielle. La sécurité des appareils connectés dépasse le cadre des technologies de l’information traditionnelles et concerne aussi les infrastructures énergétiques, les activités industrielles, les transports et la santé — des environnements où identifier une faille et déployer un correctif sûr peut nécessiter l’intervention de nombreux acteurs.

La série C de Finite State soutient une stratégie visant à faciliter ces décisions : examiner les logiciels livrés, relier les constats aux produits concernés, hiérarchiser les risques d’exposition significatifs et conserver les preuves des mesures prises. À mesure que l’IA accélère la détection des faiblesses potentielles, l’occasion commerciale consiste à aider les fabricants à transformer le volume croissant de constats en mesures concrètes et dûment étayées.