Finite State haalt 27 miljoen dollar op in een Series C-financieringsronde om de AI-gestuurde apparaatbeveiliging uit te breiden

Finite State heeft 27 miljoen dollar aan Series C-financiering opgehaald om zijn AI-gestuurde platform voor productbeveiliging en zijn internationale activiteiten uit te breiden. De financieringsronde werd geleid door private fondsen die worden beheerd door The O.H.I.O. Fund, met deelname van CIBC Innovation Banking, Energy Impact Partners, Energize Capital en National Grid Partners.

Het bedrijf, gevestigd in Columbus, Ohio, richt zich op een probleem dat steeds belangrijker wordt naarmate kwetsbaarheden sneller worden ontdekt: fabrikanten moeten weten welke software daadwerkelijk draait op de apparaten die ze verkopen. Een fout in een gedeeld onderdeel kan gevolgen hebben voor voertuigen, medische apparatuur, industriële systemen of consumentenelektronica. Het kan echter lastig zijn om vast te stellen welke eindproducten dat onderdeel bevatten.

Finite State wil het kapitaal gebruiken om zijn aanwezigheid op internationale markten te vergroten en autonomere platformmogelijkheden te ontwikkelen. De technologie combineert analyses van softwareartefacten met informatie over kwetsbaarheden en workflows voor naleving van regelgeving. Het doel is om van een inventaris van geleverde code over te stappen op beslissingen over wat aandacht vereist.

De software inspecteren die daadwerkelijk wordt geleverd

Verbonden producten worden samengesteld uit veel verschillende bronnen: een besturingssysteem, opensourcelibraries, SDK’s van leveranciers, board-supportpakketten en propriëtaire applicaties. Fabrikanten hebben mogelijk controle over hun eigen broncode, maar slechts beperkt inzicht in gecompileerde onderdelen die door andere leveranciers zijn aangeleverd.

Een buildmanifest beschrijft wat een ontwikkelproces naar verwachting moet bevatten. Firmwareanalyse onderzoekt het artefact dat door dat proces wordt opgeleverd. Dat verschil is van belang wanneer bij het verpakken een onderdeel wordt toegevoegd, een leverancier een library aanpast of een afhankelijkheid rechtstreeks in een uitvoerbaar bestand wordt gecompileerd.

In de documentatie over binaire analyse van Finite State wordt beschreven hoe firmware-images, containers, archieven en uitvoerbare bestanden worden uitgepakt en hoe onderdelen vervolgens worden geïdentificeerd met binaire softwarecompositieanalyse. Ook wordt statische applicatiebeveiligingstests toegepast op gecompileerde code, waarbij wordt gezocht naar zwakke plekken die niet blijken uit een eenvoudige lijst met pakketnamen.

De resulterende inventaris kan aangepaste en statisch gekoppelde onderdelen bevatten, waarbij bevindingen worden aangevuld met informatie over kwetsbaarheden, exploits en licenties. De analyse zoekt ook naar hardgecodeerde inloggegevens, blootgestelde sleutels en cryptografische problemen. Ondersteunde invoer omvat firmware, gedeelde bibliotheken, binaire bestanden van mobiele applicaties en software van derden, evenals broncode wanneer die beschikbaar is.

Dit vormt de basis van de propositie van het bedrijf: beveiligingsbeslissingen moeten uitgaan van de inhoud van het eindproduct en niet volledig afhangen van de documentatie die erbij wordt geleverd.

Van een inventaris van onderdelen naar een beslissing over herstelmaatregelen

Een kwetsbaar onderdeel opsporen is pas het begin. Een productteam moet nog bepalen of de getroffen code bereikbaar is, of een exploit relevant is voor de configuratie van het apparaat en voor welke releases of productvarianten een oplossing nodig is.

In het overzicht van het platform van Finite State wordt beschreven hoe prioriteiten worden bepaald op basis van bereikbaarheid, informatie over exploits en de productcontext. Het doel is om minder tijd te besteden aan het onderzoeken van bevindingen die niet hetzelfde niveau van praktische blootstelling aan risico vertegenwoordigen.

Een softwarecomponentenlijst, of SBOM, legt vast welke onderdelen in een product zitten. De Vulnerability Exploitability eXchange, of VEX, voegt informatie toe over de vraag of een bepaalde kwetsbaarheid van invloed is op dat product. Samen helpen deze gegevens onderscheid te maken tussen een inventarisvraag — of een onderdeel aanwezig is — en een beoordeling van het risico dat het met zich meebrengt.

Volgens Finite State kan het platform bekende en eerder onbekende kwetsbaarheden opsporen. Daarvoor worden verschillende soorten analyses gecombineerd: onderdelen worden vergeleken met openbaar gemaakte problemen en gecompileerde code wordt onderzocht op zwakke plekken. De bruikbaarheid van het resultaat hangt af van het bewijs waarop een bevinding berust en van de relevantie ervan voor het apparaat, niet alleen van het aantal waarschuwingen.

AI-automatisering vereist nog altijd bewijs van de kwaliteit van de analyse

Een praktisch voorbeeld van het AI-werk van het bedrijf is de AI-agent voor de evaluatie van het uitpakken, die eerder in 2026 werd geïntroduceerd. De agent beoordeelt hoe volledig een geüpload artefact is uitgepakt en licht hiaten toe die de daaropvolgende analyse kunnen beperken.

Die stap is belangrijk, omdat een scan geen code kan beoordelen die niet succesvol is uitgepakt. Versleutelde containers, geneste archieven of ongebruikelijke firmwareverpakkingen kunnen ertoe leiden dat een deel van een artefact buiten het zicht van de scanner blijft.

Volgens Finite State geeft de agent een kwaliteitsscore, benoemt hij waarschijnlijke oorzaken van onvolledig uitpakken en beveelt hij acties aan, zoals inhoud ontsleutelen, deze lokaal uitpakken of een archief opnieuw verpakken voordat het opnieuw wordt geüpload. Dankzij de automatisering kunnen teams nagaan wat de analyse heeft omvat, in plaats van elke voltooide scan als even volledig te beschouwen.

Het bredere platform koppelt die analyse aan workflows die kunnen worden beoordeeld. In de gepubliceerde architectuur wordt beschreven hoe firmware, binaire bestanden, broncode, SBOM’s van leveranciers en documentatie in één proces worden samengebracht om beveiligingsbevindingen, verificatiebewijs en rapporten op te stellen.

Productbeveiliging koppelen aan compliance

In de financieringsaankondiging wordt de druk van regelgeving, naast de snellere ontdekking van kwetsbaarheden, genoemd als aanjager van de vraag. Fabrikanten hebben steeds vaker bewijs nodig waaruit blijkt hoe ze softwarerisico’s hebben opgespoord, de gevolgen ervan hebben beoordeeld en deze gedurende de hele productlevenscyclus hebben aangepakt.

Finite State genereert SBOM’s, VEX-records en compliancepakketten die zijn gekoppeld aan productartefacten. Het platform verbindt ook architectuur, beveiligingsvereisten en verificatiewerk, zodat teams een ontwerpbeslissing kunnen koppelen aan de software die bij de klant terechtkomt.

Dankzij die koppeling zijn wijzigingen tussen releases eenvoudiger te volgen. Wanneer een leverancier een component bijwerkt of een fabrikant een nieuwe firmware-image uitbrengt, moet het beveiligingsbewijs betrekking hebben op het nieuwe artefact en niet een statisch document uit een eerdere release blijven.

De aankondiging bevat ook een reactie van JET OPTOELECTRONICS, een Tier 1-leverancier van auto-elektronica en slimme cockpits. Bruce Lin, senior manager op de softwareafdeling, benadrukte dat Finite State inzicht biedt in apparaten die al zijn geleverd, directe en indirecte afhankelijkheden en compliancebewijs dat is gekoppeld aan de vereisten waaraan de leverancier moet voldoen.

Financiering van de volgende fase van productbeveiliging

Oprichter en CEO Matt Wyckhouse schetste de uitdaging als een groeiende kloof tussen de snelheid waarmee kwetsbaarheden met behulp van AI worden ontdekt en het vermogen van fabrikanten om vast te stellen welke producten zijn getroffen. De nieuwe financiering ondersteunt zowel de verdere ontwikkeling van het platform als een grotere internationale aanwezigheid.

De samenstelling van de investeerdersgroep weerspiegelt ook de verscheidenheid aan systemen die risico lopen door kwetsbaarheden in de softwaretoeleveringsketen. Beveiliging van verbonden apparaten reikt verder dan de traditionele IT en omvat ook energie-infrastructuur, industriële activiteiten, vervoer en gezondheidszorg: omgevingen waarin bij het opsporen van een kwetsbaarheid en het uitrollen van een veilige oplossing veel partijen betrokken kunnen zijn.

Met zijn Series C-financieringsronde ondersteunt Finite State een strategie die erop is gericht zulke beslissingen beter beheersbaar te maken: de geleverde software inspecteren, bevindingen koppelen aan de producten waarop ze betrekking hebben, relevante blootstelling prioriteren en bewijs van de genomen maatregelen bewaren. Nu AI het opsporen van potentiële zwakke plekken versnelt, bestaat de commerciële kans erin fabrikanten te helpen de groeiende hoeveelheid bevindingen om te zetten in goed onderbouwde maatregelen.