Finite State pozyskuje 27 mln dolarów w ramach rundy finansowania serii C, aby rozszerzyć zabezpieczenia urządzeń oparte na AI

Finite State pozyskała 27 mln dolarów w ramach rundy finansowania serii C, aby rozwijać platformę do zabezpieczania produktów opartą na AI oraz działalność międzynarodową. Rundę poprowadziły fundusze prywatne zarządzane przez The O.H.I.O. Fund, a udział w niej wzięły także CIBC Innovation Banking, Energy Impact Partners, Energize Capital i National Grid Partners.

Firma z siedzibą w Columbus w stanie Ohio koncentruje się na problemie, którego znaczenie rośnie wraz z przyspieszeniem wykrywania podatności: producenci muszą wiedzieć, jakie oprogramowanie faktycznie działa w sprzedawanych przez nich urządzeniach. Luka w podatnym komponencie współdzielonym przez różne produkty może dotyczyć pojazdów, sprzętu medycznego, systemów przemysłowych lub elektroniki użytkowej, ale ustalenie, które gotowe produkty zawierają ten komponent, bywa trudne.

Finite State planuje wykorzystać pozyskany kapitał do umocnienia swojej obecności na rynkach międzynarodowych i rozwoju bardziej autonomicznych funkcji platformy. Jej technologia łączy analizę artefaktów oprogramowania z informacjami o podatnościach i procesami zapewniania zgodności, aby przekształcać wykaz dostarczonego kodu w decyzje o tym, czym należy się zająć.

Analiza oprogramowania faktycznie dostarczanego wraz z produktem

Produkty podłączone do sieci powstają z wielu elementów: systemu operacyjnego, bibliotek open source, zestawów SDK dostawców, pakietów obsługi płyt głównych i aplikacji własnościowych. Producenci mogą kontrolować własny kod źródłowy, a jednocześnie mieć ograniczony wgląd w skompilowane komponenty dostarczane przez innych dostawców.

Manifest kompilacji opisuje, co zgodnie z założeniami procesu wytwarzania powinno znaleźć się w produkcie. Analiza oprogramowania układowego bada artefakt powstały w wyniku tego procesu. Różnica ma znaczenie, gdy podczas pakowania dodany zostaje komponent, dostawca modyfikuje bibliotekę lub zależność jest kompilowana bezpośrednio do pliku wykonywalnego.

W dokumentacji analizy plików binarnych Finite State opisuje rozpakowywanie obrazów oprogramowania układowego, kontenerów, archiwów i plików wykonywalnych, a następnie identyfikowanie komponentów za pomocą analizy składu oprogramowania na podstawie plików binarnych. Firma stosuje również statyczne testy bezpieczeństwa aplikacji do skompilowanego kodu, wyszukując słabe punkty, których nie da się wykryć na podstawie samej listy nazw pakietów.

Utworzony wykaz może uwzględniać zmodyfikowane komponenty oraz komponenty dołączone statycznie, a wyniki analizy są uzupełniane informacjami o podatnościach, możliwościach ich wykorzystania i licencjach. Analiza obejmuje również wyszukiwanie danych uwierzytelniających zapisanych na stałe w kodzie, ujawnionych kluczy i problemów kryptograficznych. Obsługiwane dane wejściowe to oprogramowanie układowe, biblioteki współdzielone, pliki binarne aplikacji mobilnych i oprogramowanie firm trzecich, a także kod źródłowy, jeśli jest dostępny.

Na tym opiera się główna teza firmy: decyzje dotyczące bezpieczeństwa powinny wynikać z zawartości gotowego produktu, a nie opierać się wyłącznie na towarzyszącej mu dokumentacji.

Od wykazu komponentów do decyzji o usunięciu problemu

Znalezienie podatnego komponentu to dopiero początek. Zespół produktowy musi jeszcze ustalić, czy możliwy jest dostęp do podatnego kodu, czy dany sposób wykorzystania luki ma znaczenie w kontekście konfiguracji urządzenia oraz które wersje lub warianty produktu wymagają poprawki.

W opisie platformy Finite State wyjaśnia, że ustalanie priorytetów uwzględnia możliwość dotarcia do podatnego kodu, informacje o sposobach wykorzystania luk oraz kontekst produktu. Celem jest ograniczenie czasu, jaki inżynierowie poświęcają na analizę ustaleń, które nie oznaczają takiego samego poziomu rzeczywistego narażenia na zagrożenie.

Zestawienie komponentów oprogramowania (SBOM) zawiera wykaz elementów produktu. Wymiana informacji o podatnościach i możliwości ich wykorzystania (VEX) dostarcza dodatkowych danych o tym, czy dana podatność ma wpływ na produkt. Łącznie te dokumenty pozwalają odróżnić pytanie o skład produktu — czy dany komponent jest w nim obecny — od oceny ryzyka, które stwarza.

Finite State informuje, że jej platforma potrafi identyfikować znane i wcześniej nieznane podatności. Wykorzystuje do tego różne rodzaje analizy: porównuje komponenty z ujawnionymi problemami i bada skompilowany kod pod kątem słabych punktów. Wartość wyników zależy od dowodów uzasadniających dane ustalenie i jego znaczenia dla urządzenia, a nie po prostu od liczby wygenerowanych alertów.

Automatyzacja AI nadal wymaga dowodów jakości analizy

Jednym z praktycznych przykładów wykorzystania AI w firmie jest agent do oceny rozpakowywania z wykorzystaniem AI, wprowadzony na początku 2026 roku. Agent ocenia, jak dokładnie rozpakowano przesłany artefakt, i wyjaśnia, jakie braki mogą ograniczać dalszą analizę.

Ten etap jest ważny, ponieważ skanowanie nie pozwala ocenić kodu, którego nie udało się poprawnie wyodrębnić. Zaszyfrowane kontenery, zagnieżdżone archiwa lub nietypowy sposób pakowania oprogramowania układowego mogą sprawić, że część artefaktu pozostanie poza zasięgiem skanera.

Finite State informuje, że agent wystawia ocenę jakości, wskazuje prawdopodobne przyczyny niepełnego rozpakowania i zaleca działania, takie jak odszyfrowanie zawartości, rozpakowanie jej lokalnie lub ponowne spakowanie archiwum przed kolejnym przesłaniem. Automatyzacja pomaga zespołom zrozumieć, jaki zakres objęła analiza, zamiast traktować każde zakończone skanowanie jako równie kompleksowe.

Szersza platforma łączy tę analizę z procesami weryfikacji. Opublikowany opis architektury przedstawia sposób włączania oprogramowania układowego, plików binarnych, kodu źródłowego, zestawień SBOM od dostawców i dokumentacji do wspólnego procesu, w którym powstają ustalenia dotyczące bezpieczeństwa, dowody weryfikacyjne i raporty.

Łączenie bezpieczeństwa produktów z wymogami zgodności

Informacja o finansowaniu wskazuje presję regulacyjną, obok szybszego wykrywania podatności, jako czynnik napędzający popyt. Producenci coraz częściej potrzebują dowodów pokazujących, jak identyfikowali zagrożenia związane z oprogramowaniem, oceniali ich wpływ i eliminowali je na poszczególnych etapach cyklu życia produktu.

Finite State generuje SBOM-y, rekordy VEX i pakiety dokumentacji zgodności powiązane z artefaktami produktów. Platforma łączy również architekturę, wymagania bezpieczeństwa i prace weryfikacyjne, pomagając zespołom powiązać decyzję projektową z oprogramowaniem trafiającym do klienta.

Takie powiązanie może ułatwić śledzenie zmian między kolejnymi wersjami produktu. Gdy dostawca aktualizuje komponent lub producent dostarcza nowy obraz oprogramowania układowego, dowody dotyczące bezpieczeństwa powinny odzwierciedlać nowy artefakt, a nie pozostawać statycznym dokumentem z wcześniejszego wydania.

W informacji uwzględniono opinię JET OPTOELECTRONICS, dostawcy elektroniki samochodowej Tier 1 i systemów inteligentnego kokpitu. Bruce Lin, starszy menedżer w dziale oprogramowania tej firmy, podkreślił, że Finite State zapewnia wgląd w dostarczone urządzenia, zależności bezpośrednie i przechodnie oraz dowody zgodności powiązane z wymaganiami, którym musi sprostać dostawca.

Finansowanie kolejnego etapu rozwoju bezpieczeństwa produktów

Założyciel i dyrektor generalny Matt Wyckhouse przedstawił wyzwanie jako pogłębiającą się przepaść między tempem wykrywania podatności wspomaganego przez AI a zdolnością producentów do identyfikowania produktów, których one dotyczą. Nowe finansowanie wesprze zarówno rozwój platformy, jak i rozszerzenie jej międzynarodowej obecności.

Grupa inwestorów odzwierciedla również różnorodność systemów narażonych na ryzyko związane z łańcuchem dostaw oprogramowania. Bezpieczeństwo urządzeń połączonych z siecią wykracza poza tradycyjne IT i obejmuje infrastrukturę energetyczną, działalność przemysłową, transport oraz ochronę zdrowia — środowiska, w których identyfikacja luki i wdrożenie bezpiecznej poprawki mogą wymagać zaangażowania wielu podmiotów.

Finansowanie rundy C dla Finite State wspiera strategię, której celem jest ułatwienie podejmowania takich decyzji: analiza dostarczonego oprogramowania, powiązanie ustaleń z produktami, których dotyczą, nadawanie priorytetu istotnemu narażeniu na zagrożenia oraz zachowywanie dowodów podjętych działań. Ponieważ AI przyspiesza wykrywanie potencjalnych słabości, szansą biznesową jest pomoc producentom w przekształcaniu rosnącej liczby ustaleń w działania, które można uzasadnić.