Finite State henter 27 millioner dollar i serie C-finansiering for å utvide KI-drevet enhetssikkerhet

Finite State har hentet 27 millioner dollar i serie C-finansiering for å utvide sin KI-drevne plattformsikkerhet for produkter og sin internasjonale virksomhet. Finansieringsrunden ble ledet av private fond forvaltet av The O.H.I.O. Fund, med deltakelse fra CIBC Innovation Banking, Energy Impact Partners, Energize Capital og National Grid Partners.

Selskapet, som har base i Columbus i Ohio, arbeider med et problem som blir stadig mer alvorlig etter hvert som sårbarheter oppdages raskere: Produsenter må vite hvilken programvare som faktisk kjører på enhetene de selger. En sårbarhet i en delt komponent kan påvirke kjøretøy, medisinsk utstyr, industrisystemer eller forbrukerelektronikk, men det kan være vanskelig å fastslå hvilke ferdige produkter som inneholder komponenten.

Finite State planlegger å bruke kapitalen til å styrke sin tilstedeværelse i internasjonale markeder og utvikle mer autonome plattformfunksjoner. Teknologien kombinerer analyse av programvareartefakter med sårbarhetsinformasjon og arbeidsflyter for etterlevelse, med mål om å gjøre en oversikt over levert kode om til beslutninger om hva som må følges opp.

Undersøkelse av programvaren som faktisk leveres

Tilkoblede produkter settes sammen av mange ulike kilder: et operativsystem, åpen kildekode-biblioteker, leverandørers SDK-er, pakker for kortstøtte og proprietære applikasjoner. Produsentene kan ha kontroll over sin egen kildekode, men samtidig ha begrenset innsyn i kompilerte komponenter fra andre leverandører.

Et byggemanifest beskriver hva en utviklingsprosess forventes å inkludere. Fastvareanalyse undersøker artefaktet prosessen produserer. Forskjellen er viktig når pakking legger til en komponent, en leverandør endrer et bibliotek, eller en avhengighet kompileres direkte inn i en kjørbar fil.

Dokumentasjonen om binæranalyse fra Finite State beskriver hvordan fastvarebilder, containere, arkiver og kjørbare filer pakkes ut, før komponentene identifiseres ved hjelp av binær programvaresammensetningsanalyse. Den bruker også statisk applikasjonssikkerhetstesting på kompilert kode for å undersøke svakheter utover en enkel liste over pakkenavn.

Den resulterende oversikten kan omfatte endrede og statisk lenkede komponenter, og funnene kan suppleres med informasjon om sårbarheter, utnyttelse og lisenser. Analysen leter også etter hardkodede påloggingsopplysninger, eksponerte nøkler og kryptografiske problemer. Støttede inndata omfatter fastvare, delte biblioteker, binærfiler for mobilapper og tredjepartsprogramvare, samt kildekode når den er tilgjengelig.

Dette er grunnlaget for selskapets argument: Sikkerhetsbeslutninger bør bygge på innholdet i det ferdige produktet, i stedet for å være helt avhengige av dokumentasjonen som følger med det.

Fra komponentoversikt til beslutning om utbedring

Å finne en sårbar komponent er bare begynnelsen. Et produktteam må fortsatt fastslå om den berørte koden kan nås, om en utnyttelse er relevant for enhetens konfigurasjon, og hvilke utgivelser eller produktvarianter som må få en rettelse.

Plattformoversikten fra Finite State beskriver prioritering basert på nåbarhet, informasjon om utnyttelse og produktkontekst. Målet er å redusere tiden ingeniører bruker på å undersøke funn som ikke innebærer samme grad av praktisk eksponering.

En programvarefortegnelse, eller SBOM, registrerer komponentene i et produkt. Vulnerability Exploitability eXchange, eller VEX, gir tilleggsinformasjon om hvorvidt en bestemt sårbarhet påvirker produktet. Samlet bidrar disse registreringene til å skille mellom spørsmålet om en komponent finnes i produktet, og en vurdering av risikoen den medfører.

Finite State opplyser at plattformen kan identifisere både kjente og tidligere ukjente sårbarheter. Dette kombinerer ulike analysetyper: å sammenligne komponenter med offentliggjorte sårbarheter og å undersøke kompilert kode for svakheter. Hvor nyttig resultatet er, avhenger av dokumentasjonen som underbygger et funn, og hvor relevant det er for enheten – ikke bare av hvor mange varsler analysen gir.

KI-automatisering krever fortsatt dokumentasjon på analysekvaliteten

Et konkret eksempel på selskapets KI-arbeid er KI-agenten for evaluering av utpakking, som ble introdusert tidligere i 2026. Agenten vurderer hvor fullstendig en opplastet artefakt er pakket ut, og forklarer mangler som kan begrense den videre analysen.

Dette trinnet er viktig fordi en skanning ikke kan vurdere kode som ikke er pakket ut. Krypterte containere, nøstede arkiver eller uvanlig pakking av fastvare kan føre til at deler av en artefakt ikke blir synlige for skanneren.

Finite State opplyser at agenten gir en kvalitetsvurdering, identifiserer sannsynlige årsaker til ufullstendig utpakking og anbefaler tiltak som å dekryptere innhold, pakke det ut lokalt eller pakke et arkiv på nytt før det lastes opp igjen. Automatiseringen hjelper team med å forstå hva analysen omfattet, i stedet for å behandle alle fullførte skanninger som like omfattende.

Den bredere plattformen knytter analysen til arbeidsflyter som kan gjennomgås. Den publiserte arkitekturen beskriver hvordan fastvare, binærfiler, kildekode, leverandørers SBOM-er og dokumentasjon samles i en felles prosess for å utarbeide sikkerhetsfunn, verifikasjonsdokumentasjon og rapporter.

Å knytte produktsikkerhet til etterlevelse

Finansieringskunngjøringen peker på regulatorisk press, i tillegg til raskere oppdagelse av sårbarheter, som en drivkraft for etterspørselen. Produsenter trenger i økende grad dokumentasjon som viser hvordan de har identifisert programvarerisikoer, vurdert konsekvensene av dem og håndtert dem gjennom hele produktets livssyklus.

Finite State genererer SBOM-er, VEX-oppføringer og etterlevelsesdokumentasjon knyttet til produktartefakter. Plattformen knytter også sammen arkitektur, sikkerhetskrav og verifiseringsarbeid, slik at team kan koble en designbeslutning til programvaren som når kunden.

Denne koblingen kan gjøre det enklere å spore endringer fra én utgivelse til den neste. Når en leverandør oppdaterer en komponent eller en produsent sender ut et nytt fastvarebilde, må sikkerhetsdokumentasjonen gjenspeile den nye artefakten, i stedet for å forbli et statisk dokument fra en tidligere utgivelse.

Kunngjøringen inneholder også tilbakemeldinger fra JET OPTOELECTRONICS, en Tier 1-leverandør av bilelektronikk og smarte cockpitløsninger. Bruce Lin, seniorleder i selskapets programvareavdeling, fremhevet Finite States oversikt over leverte enheter, direkte og transitive avhengigheter og dokumentasjon på etterlevelse, knyttet til kravene leverandøren må oppfylle.

Finansiering av neste fase innen produktsikkerhet

Grunnlegger og administrerende direktør Matt Wyckhouse beskrev utfordringen som et økende gap mellom hvor raskt KI-assistert sårbarhetsoppdagelse skjer, og produsentenes evne til å identifisere hvilke produkter som er berørt. Den nye finansieringen støtter både videreutvikling av plattformen og en større internasjonal tilstedeværelse.

Investorgruppen gjenspeiler også bredden av systemer som er utsatt for risiko i programvareforsyningskjeden. Sikkerhet for tilkoblede enheter omfatter mer enn tradisjonell IT og strekker seg til kraftinfrastruktur, industriell drift, transport og helsevesen – miljøer der det kan være mange involverte parter når en feil skal identifiseres og en trygg rettelse rulles ut.

Finite States serie C-finansiering støtter en strategi som skal gjøre slike beslutninger enklere å håndtere: inspisere programvaren som er levert, knytte funn til produktene de berører, prioritere vesentlig eksponering og bevare dokumentasjon på tiltakene som er iverksatt. Etter hvert som KI gjør det raskere å finne potensielle svakheter, ligger den kommersielle muligheten i å hjelpe produsenter med å omsette den økende mengden funn til tiltak som kan forsvares.