Finite State, AI 기반 기기 보안 확장을 위해 시리즈 C에서 2,700만 달러 조달

Finite State가 AI 기반 제품 보안 플랫폼과 해외 사업을 확장하기 위해 시리즈 C 투자로 2,700만 달러를 조달했다. 이번 투자 라운드는 The O.H.I.O. Fund가 운용하는 민간 펀드가 주도했으며, CIBC Innovation Banking, Energy Impact Partners, Energize Capital, National Grid Partners가 참여했다.

오하이오주 콜럼버스에 본사를 둔 이 회사는 취약점 발견 속도가 빨라질수록 중요성이 커지는 문제에 주목한다. 제조업체는 판매하는 기기 안에서 실제로 어떤 소프트웨어가 실행되는지 알아야 한다. 공유 구성 요소의 결함은 차량, 의료 장비, 산업 시스템 또는 소비자 가전에 영향을 미칠 수 있지만, 어떤 완제품에 해당 구성 요소가 들어 있는지 파악하기는 어려울 수 있다.

Finite State는 이번 자금을 해외 시장에서 입지를 강화하고 플랫폼의 자율 기능을 더 발전시키는 데 사용할 계획이다. 이 회사의 기술은 소프트웨어 산출물 분석을 취약점 정보 및 규정 준수 워크플로와 결합해, 출하된 코드의 목록을 무엇을 점검해야 하는지에 관한 의사 결정으로 연결하는 것을 목표로 한다.

실제로 출하되는 소프트웨어 검사

커넥티드 제품은 운영체제, 오픈소스 라이브러리, 공급업체 SDK, 보드 지원 패키지, 독점 애플리케이션 등 다양한 출처의 구성 요소를 조합해 만든다. 제조업체는 자체 소스 코드를 관리하면서도 다른 공급업체가 제공하는 컴파일된 구성 요소는 제한적으로만 파악할 수 있다.

빌드 매니페스트는 개발 과정에서 무엇을 포함할 것으로 예상하는지 설명한다. 펌웨어 분석은 그 과정을 거쳐 생성된 산출물을 검사한다. 패키징 과정에서 구성 요소가 추가되거나, 공급업체가 라이브러리를 수정하거나, 종속성이 실행 파일에 직접 컴파일되는 경우 이 차이가 중요하다.

Finite State의 바이너리 분석 문서에서는 펌웨어 이미지, 컨테이너, 아카이브, 실행 파일의 압축을 풀고 바이너리 소프트웨어 구성 분석을 통해 구성 요소를 식별하는 방법을 설명한다. 또한 컴파일된 코드를 대상으로 정적 애플리케이션 보안 테스트를 수행해 단순한 패키지 이름 목록을 넘어 취약점을 검사한다.

분석 결과로 생성되는 목록에는 수정된 구성 요소와 정적으로 링크된 구성 요소가 포함될 수 있으며, 조사 결과에는 취약점, 익스플로잇, 라이선스 정보가 더해진다. 분석 과정에서는 하드코딩된 자격 증명, 노출된 키, 암호화 관련 문제도 찾는다. 지원되는 입력에는 펌웨어, 공유 라이브러리, 모바일 애플리케이션 바이너리, 타사 소프트웨어가 포함되며, 소스 코드가 있는 경우 이를 입력으로 사용할 수도 있다.

이것이 회사가 제시하는 핵심 가치의 토대다. 보안 관련 의사 결정은 제품에 동봉된 문서에 전적으로 의존하기보다 완제품에 실제로 들어 있는 내용을 바탕으로 내려야 한다는 것이다.

구성 요소 목록을 개선 조치 결정으로 연결하기

취약한 구성 요소를 찾는 것은 시작에 불과하다. 제품팀은 영향을 받는 코드에 접근할 수 있는지, 해당 익스플로잇이 기기의 구성과 관련이 있는지, 어떤 릴리스나 제품 변형에 수정이 필요한지 판단해야 한다.

Finite State의 플랫폼 개요에 따르면 우선순위는 도달 가능성, 익스플로잇 정보, 제품 맥락을 바탕으로 정해진다. 이는 실제 노출 위험이 같은 수준이 아닌 조사 결과를 검토하는 데 엔지니어가 들이는 시간을 줄이기 위한 것이다.

소프트웨어 자재 명세서(SBOM)는 제품에 포함된 구성 요소를 기록한다. 취약점 악용 가능성 교환(VEX)은 특정 취약점이 해당 제품에 영향을 미치는지에 관한 정보를 추가한다. 두 기록을 함께 활용하면 구성 요소가 포함되어 있는지를 묻는 목록 확인과 그 구성 요소가 초래하는 위험을 평가하는 일을 구분하는 데 도움이 된다.

Finite State는 자사 플랫폼이 알려진 취약점과 이전에 알려지지 않았던 취약점을 식별할 수 있다고 밝혔다. 이를 위해 구성 요소를 공개된 문제와 대조하고 컴파일된 코드의 취약점을 검사하는 등 서로 다른 분석 방식을 결합한다. 결과의 유용성은 단순히 생성된 경고 수가 아니라 조사 결과의 근거와 기기와의 관련성에 달려 있다.

AI 자동화에도 분석 품질을 입증하는 근거가 필요하다

회사의 AI 활용을 보여주는 실질적인 사례 중 하나는 2026년 초에 선보인 AI 압축 해제 평가 에이전트다. 이 에이전트는 업로드된 산출물이 얼마나 완전하게 추출되었는지 평가하고, 후속 분석을 제한할 수 있는 누락 부분을 설명한다.

성공적으로 추출하지 못한 코드는 스캔으로 평가할 수 없으므로 이 단계가 중요하다. 암호화된 컨테이너, 중첩된 아카이브, 특이한 펌웨어 패키징 때문에 산출물의 일부가 스캐너의 분석 범위에서 빠질 수 있다.

Finite State에 따르면 이 에이전트는 품질 등급을 제공하고, 추출이 불완전한 원인으로 추정되는 요소를 파악하며, 콘텐츠 복호화, 로컬에서 압축 해제, 재업로드 전 아카이브 재패키징 등의 조치를 권고한다. 이러한 자동화는 완료된 스캔을 모두 똑같이 포괄적인 것으로 간주하는 대신, 팀이 분석 범위를 이해하도록 돕는다.

더 넓은 플랫폼은 이 분석을 검토 가능한 워크플로와 연결한다. 공개된 아키텍처 설명에 따르면 펌웨어, 바이너리, 소스 코드, 공급업체 SBOM, 문서를 공통 프로세스로 가져와 보안 조사 결과, 검증 근거, 보고서를 생성한다.

제품 보안을 규정 준수 업무와 연결하기

이번 투자 발표는 규제 압박과 더 빠른 취약점 발견을 수요를 이끄는 요인으로 함께 제시한다. 제조업체는 소프트웨어 위험을 어떻게 식별하고, 그 영향을 평가하며, 제품 수명 주기 전반에 걸쳐 어떻게 해결했는지 보여 주는 증거를 점점 더 필요로 한다.

Finite State는 제품 산출물과 연계된 SBOM, VEX 기록 및 규정 준수 패키지를 생성한다. 또한 플랫폼을 통해 아키텍처, 보안 요구 사항, 검증 작업을 연결해 팀이 설계 결정과 고객에게 전달되는 소프트웨어를 연계할 수 있도록 지원한다.

이러한 연계는 릴리스가 바뀔 때마다 달라지는 사항을 더 쉽게 추적하도록 해준다. 공급업체가 구성 요소를 업데이트하거나 제조업체가 새 펌웨어 이미지를 배포하면, 보안 증거에도 이전 릴리스의 정적인 문서가 아니라 새 산출물이 반영되어야 한다.

이번 발표에는 1차 자동차 전자 및 스마트 콕핏 공급업체인 JET OPTOELECTRONICS의 의견도 담겼다. 이 회사 소프트웨어 부문의 선임 관리자 Bruce Lin은 출하된 기기와 직접·전이 종속성에 대한 Finite State의 가시성, 그리고 공급업체가 직면한 요구 사항에 맞춰 정리된 규정 준수 증거를 강조했다.

제품 보안의 다음 단계를 뒷받침하는 투자

창립자 겸 CEO인 Matt Wyckhouse는 AI를 활용한 취약점 발견 속도와 영향을 받는 제품을 식별하는 제조업체의 역량 사이의 격차가 커지고 있다고 과제를 설명했다. 이번 신규 투자는 플랫폼 개발과 해외 사업 기반 확대를 모두 지원한다.

투자자 그룹은 소프트웨어 공급망 위험에 노출된 시스템의 범위도 보여 준다. 연결 기기 보안은 기존 IT를 넘어 전력 인프라, 산업 운영, 운송, 의료 분야까지 아우른다. 이러한 환경에서는 결함을 식별하고 안전한 수정 사항을 배포하는 데 여러 당사자가 관여할 수 있다.

Finite State의 시리즈 C 투자는 이러한 의사 결정을 더 쉽게 실행할 수 있도록 하는 전략을 뒷받침한다. 출하된 소프트웨어를 점검하고, 발견 사항을 영향을 받는 제품과 연결하며, 실질적인 노출 위험을 우선순위화하고, 대응 증거를 보존하는 전략이다. AI로 잠재적 취약점을 더 빠르게 찾아낼 수 있게 되면서, 제조업체가 늘어나는 발견 사항을 근거를 갖춰 설명할 수 있는 조치로 전환하도록 돕는 것이 상업적 기회다.