Finite State、AI搭載デバイスのセキュリティ強化に向けシリーズCで2,700万ドルを調達

Finite Stateは、AIを活用した製品セキュリティプラットフォームの拡充と海外事業の拡大に向け、シリーズCで2,700万ドルを調達した。今回の資金調達は、The O.H.I.O. Fundが運用するプライベートファンドが主導し、CIBC Innovation Banking、Energy Impact Partners、Energize Capital、National Grid Partnersが参加した。

オハイオ州コロンバスに本社を置く同社は、脆弱性の発見が加速するなかで重要性を増している課題に取り組んでいる。メーカーは、自社が販売するデバイスの内部で実際にどのソフトウェアが動作しているのかを把握する必要がある。共通コンポーネントの不具合は、自動車、医療機器、産業システム、家電製品に影響を及ぼす可能性がある一方、どの完成品にそのコンポーネントが含まれているかを特定するのは難しい場合がある。

Finite Stateは、今回の資金を海外市場での事業基盤の強化と、より自律的なプラットフォーム機能の開発に活用する予定だ。同社の技術は、ソフトウェア成果物の分析に脆弱性情報とコンプライアンス対応のワークフローを組み合わせ、出荷済みコードのインベントリを、対処が必要な項目についての判断につなげることを目指している。

実際に出荷されるソフトウェアを調べる

コネクテッド製品は、オペレーティングシステム、オープンソースライブラリ、サプライヤー提供のSDK、ボードサポートパッケージ、独自アプリケーションなど、さまざまなソースから構成される。メーカーは自社のソースコードを管理していても、他社から提供されるコンパイル済みコンポーネントを十分に把握できないことがある。

ビルドマニフェストには、開発プロセスで何を含める想定かが記載される。ファームウェア分析では、そのプロセスで生成された成果物を調べる。この違いが重要になるのは、パッケージング時にコンポーネントが追加された場合、サプライヤーがライブラリを変更した場合、または依存コンポーネントが実行ファイルに直接コンパイルされた場合だ。

Finite Stateのバイナリ分析に関するドキュメントでは、ファームウェアイメージ、コンテナ、アーカイブ、実行ファイルを展開し、バイナリソフトウェア構成分析によってコンポーネントを特定する方法が説明されている。また、コンパイル済みコードに静的アプリケーションセキュリティテストを適用し、パッケージ名の単純な一覧からは分からない脆弱性も調べる。

作成されるインベントリには、変更されたコンポーネントや静的にリンクされたコンポーネントも含まれ、検出結果には脆弱性、エクスプロイト、ライセンスに関する情報が付加される。分析では、ハードコードされた認証情報、外部に露出した鍵、暗号関連の問題も検出する。対応する入力には、ファームウェア、共有ライブラリ、モバイルアプリケーションのバイナリ、サードパーティ製ソフトウェアが含まれ、利用可能な場合はソースコードも対象となる。

これが同社の主張の基盤となっている。セキュリティ上の判断は、製品に同梱された文書だけに依存するのではなく、完成品の内容に基づいて行うべきだという考えだ。

コンポーネントのインベントリを修正対応の判断につなげる

脆弱なコンポーネントの発見は、出発点にすぎない。製品チームは、影響を受けるコードに到達できるか、エクスプロイトがデバイスの構成に関係するか、どのリリースや製品バリエーションに修正が必要かを判断する必要がある。

Finite Stateのプラットフォームの概要では、到達可能性、エクスプロイト情報、製品の状況に基づく優先順位付けについて説明している。その目的は、実際の露出リスクが同程度ではない検出結果の調査に、エンジニアが費やす時間を減らすことだ。

ソフトウェア部品表（SBOM）には、製品に含まれるコンポーネントが記録される。脆弱性悪用可能性情報交換（VEX）には、特定の脆弱性がその製品に影響するかどうかを示す情報が追加される。これらを組み合わせることで、コンポーネントが存在するかどうかというインベントリ上の問いと、そのコンポーネントがもたらすリスクの評価とを区別しやすくなる。

Finite Stateによると、同社のプラットフォームは、既知の脆弱性と、これまで知られていなかった脆弱性の両方を特定できる。この機能は、コンポーネントを公表済みの問題と照合する分析と、コンパイル済みコードの弱点を調べる分析を組み合わせたものだ。結果の有用性を左右するのは、検出結果を裏付ける証拠とデバイスとの関連性であり、生成されたアラートの数だけではない。

AIによる自動化にも、分析の質を示す根拠が必要

同社のAI活用の実例の一つが、2026年の先ごろに発表されたAIによる展開評価エージェントだ。このエージェントは、アップロードされた成果物がどの程度完全に抽出されたかを評価し、その後の分析を妨げる可能性のある不足箇所について説明する。

この工程が重要なのは、スキャンでは正常に抽出できなかったコードを評価できないためだ。暗号化されたコンテナ、入れ子になったアーカイブ、あるいは一般的でないファームウェアのパッケージ形式が原因で、成果物の一部がスキャナーの検査対象から外れることがある。

Finite Stateによると、このエージェントは品質評価を提示し、抽出が不完全になった原因として考えられるものを特定したうえで、コンテンツの復号、ローカルでの展開、再アップロード前のアーカイブの再パッケージ化などの対応を推奨する。この自動化により、チームは分析の対象範囲を把握でき、スキャンが完了すればどれも同じ程度に網羅的だと見なす必要がなくなる。

より広範なプラットフォームは、こうした分析をレビュー可能なワークフローにつなげる。同社が公開しているアーキテクチャの説明によると、ファームウェア、バイナリ、ソースコード、サプライヤーのSBOM、ドキュメントを共通のプロセスに取り込み、セキュリティ上の検出結果、検証の証拠、レポートを作成する。

製品セキュリティとコンプライアンス業務を結び付ける

今回の資金調達の発表では、脆弱性の発見が加速していることと並んで、規制面の圧力も需要を押し上げる要因として挙げられている。メーカーには、製品のライフサイクル全体を通じて、ソフトウェアのリスクをどのように特定し、その影響を評価し、対処したのかを示す証拠がますます求められている。

Finite Stateは、製品の成果物にひも付いたSBOM、VEX記録、コンプライアンス関連資料を作成する。また、そのプラットフォームはアーキテクチャ、セキュリティ要件、検証作業も結び付け、設計上の判断を、顧客に届くソフトウェアと関連付けられるようチームを支援する。

こうしたつながりにより、リリースごとの変更を追跡しやすくなる。サプライヤーがコンポーネントを更新したり、メーカーが新しいファームウェアイメージを出荷したりした場合、セキュリティ上の証拠は新しい成果物を反映する必要があり、以前のリリース時に作成された静的な文書のままではいけない。

今回の発表には、ティア1の自動車用電子機器およびスマートコックピットのサプライヤーであるJET OPTOELECTRONICSからの評価も含まれている。同社ソフトウェア部門のシニアマネージャー、Bruce Lin氏は、出荷済みデバイス、直接依存関係と推移的依存関係、そしてサプライヤーが直面する要件に対応付けられたコンプライアンスの証拠を可視化できるFinite Stateの機能を高く評価した。

製品セキュリティの次の段階を支える資金調達

創業者兼CEOのMatt Wyckhouse氏は、AIを活用した脆弱性発見のスピードと、影響を受ける製品を特定するメーカーの能力との間に広がる隔たりが課題だと述べた。今回の新たな資金は、プラットフォームの開発と、国際的な事業基盤の拡大の両方を支える。

投資家グループの顔ぶれからは、ソフトウェアのサプライチェーンリスクにさらされるシステムの幅広さもうかがえる。コネクテッドデバイスのセキュリティは従来型のITにとどまらず、電力インフラ、産業オペレーション、輸送、医療にも及ぶ。こうした環境では、脆弱性の特定や安全な修正プログラムの展開に、多くの関係者が関わる場合がある。

Finite StateのシリーズC資金調達は、こうした判断をより実行しやすくする戦略を後押しするものだ。出荷済みソフトウェアを検査し、検出結果を影響を受ける製品と結び付け、実質的なリスクへの優先順位を付け、対応の証拠を保存する。AIによって潜在的な弱点の発見が速まるなか、増え続ける検出結果を、根拠を示せる対応へとメーカーが結び付けられるよう支援することが、事業機会となる。