Finite State capta US$ 27 milhões em rodada Série C para expandir a segurança de dispositivos com IA

A Finite State captou US$ 27 milhões em uma rodada de financiamento Série C para expandir sua plataforma de segurança de produtos baseada em IA e suas operações internacionais. A rodada foi liderada por fundos privados administrados pelo The O.H.I.O. Fund, com participação do CIBC Innovation Banking, da Energy Impact Partners, da Energize Capital e da National Grid Partners.

A empresa, sediada em Columbus, Ohio, concentra-se em um problema que ganha importância à medida que a descoberta de vulnerabilidades se acelera: os fabricantes precisam saber quais softwares realmente funcionam nos dispositivos que vendem. Uma falha em um componente compartilhado pode afetar veículos, equipamentos médicos, sistemas industriais ou eletrônicos de consumo, mas pode ser difícil determinar quais produtos acabados contêm esse componente.

A Finite State planeja usar o capital para ampliar sua presença em mercados internacionais e desenvolver recursos mais autônomos para a plataforma. Sua tecnologia combina a análise de artefatos de software com informações sobre vulnerabilidades e fluxos de trabalho de conformidade, com o objetivo de transformar um inventário do código enviado aos clientes em decisões sobre o que requer atenção.

Inspecionar o software que realmente chega ao mercado

Os produtos conectados são montados a partir de muitas fontes: um sistema operacional, bibliotecas de código aberto, kits de desenvolvimento de software (SDKs) de fornecedores, pacotes de suporte a placas e aplicativos proprietários. Os fabricantes podem controlar seu próprio código-fonte, mas ter visibilidade limitada sobre componentes compilados fornecidos por outros fornecedores.

Um manifesto de compilação descreve o que se espera que um processo de desenvolvimento inclua. A análise de firmware examina o artefato produzido por esse processo. Essa diferença é importante quando a criação do pacote acrescenta um componente, um fornecedor modifica uma biblioteca ou uma dependência é compilada diretamente em um executável.

A documentação sobre análise de binários da Finite State descreve como descompactar imagens de firmware, contêineres, arquivos compactados e executáveis e, em seguida, identificar componentes por meio da análise binária da composição de software. A empresa também aplica testes estáticos de segurança de aplicações ao código compilado, examinando vulnerabilidades que vão além de uma simples lista de nomes de pacotes.

O inventário resultante pode incluir componentes modificados e vinculados estaticamente, e as descobertas podem ser complementadas com informações sobre vulnerabilidades, exploits e licenças. A análise também procura credenciais codificadas diretamente, chaves expostas e problemas criptográficos. Entre os tipos de entrada compatíveis estão firmware, bibliotecas compartilhadas, binários de aplicativos móveis e software de terceiros, além de código-fonte, quando disponível.

Essa é a base da proposta da empresa: as decisões de segurança devem se orientar pelo conteúdo do produto acabado, em vez de depender inteiramente da documentação que o acompanha.

Transformar um inventário de componentes em uma decisão de correção

Encontrar um componente vulnerável é apenas o começo. A equipe de produto ainda precisa determinar se o código afetado pode ser acessado, se um exploit é relevante para a configuração do dispositivo e quais versões ou variantes do produto precisam de uma correção.

A visão geral da plataforma da Finite State descreve a priorização com base na acessibilidade, nas informações sobre exploits e no contexto do produto. O objetivo é reduzir o tempo que os engenheiros gastam investigando descobertas que não representam o mesmo nível de exposição prática.

Uma lista de materiais de software, ou SBOM, registra os componentes de um produto. O intercâmbio de informações sobre a explorabilidade de vulnerabilidades, ou VEX, acrescenta informações sobre se uma vulnerabilidade específica afeta esse produto. Em conjunto, esses registros ajudam a distinguir uma questão de inventário — se um componente está presente — de uma avaliação do risco que ele representa.

A Finite State afirma que sua plataforma pode identificar vulnerabilidades conhecidas e desconhecidas até então. Isso combina diferentes tipos de análise: comparar componentes com problemas divulgados e examinar o código compilado em busca de falhas. A utilidade do resultado depende das evidências que embasam uma descoberta e de sua relevância para o dispositivo, e não simplesmente do número de alertas gerados.

A automação por IA ainda exige evidências sobre a qualidade da análise

Um exemplo prático do trabalho da empresa com IA é seu Agente de avaliação de descompactação por IA, apresentado no início de 2026. O agente avalia o grau de completude da extração de um artefato enviado e explica as lacunas que podem limitar a análise subsequente.

Essa etapa é importante porque uma varredura não pode avaliar um código que não conseguiu extrair. Contêineres criptografados, arquivos compactados aninhados ou formatos incomuns de empacotamento de firmware podem deixar parte de um artefato fora do alcance do scanner.

A Finite State afirma que o agente fornece uma classificação de qualidade, identifica causas prováveis da extração incompleta e recomenda ações como descriptografar o conteúdo, descompactá-lo localmente ou reempacotar um arquivo antes de enviá-lo novamente. A automação ajuda as equipes a entender o que foi abrangido pela análise, em vez de tratar todas as varreduras concluídas como igualmente abrangentes.

A plataforma mais ampla conecta essa análise a fluxos de trabalho que podem ser revisados. A arquitetura publicada pela empresa descreve a integração de firmware, binários, código-fonte, SBOMs de fornecedores e documentação em um processo comum para gerar descobertas de segurança, evidências de verificação e relatórios.

Conectando a segurança de produtos ao trabalho de conformidade

O anúncio do financiamento aponta a pressão regulatória, ao lado da descoberta mais rápida de vulnerabilidades, como um fator que impulsiona a demanda. Os fabricantes precisam cada vez mais de evidências que mostrem como identificaram riscos de software, avaliaram seu impacto e lidaram com eles ao longo do ciclo de vida do produto.

A Finite State gera SBOMs, registros VEX e pacotes de conformidade vinculados aos artefatos dos produtos. Sua plataforma também conecta arquitetura, requisitos de segurança e atividades de verificação, ajudando as equipes a relacionar uma decisão de projeto ao software que chega ao cliente.

Essa conexão pode facilitar o acompanhamento das mudanças entre versões. Quando um fornecedor atualiza um componente ou um fabricante lança uma nova imagem de firmware, as evidências de segurança precisam refletir o novo artefato, em vez de permanecerem como um documento estático de uma versão anterior.

O anúncio inclui o depoimento da JET OPTOELECTRONICS, fornecedora Tier 1 de eletrônicos automotivos e cockpits inteligentes. Bruce Lin, gerente sênior do departamento de software da empresa, destacou a visibilidade da Finite State sobre os dispositivos enviados, as dependências diretas e transitivas e as evidências de conformidade vinculadas aos requisitos que a fornecedora precisa atender.

Financiamento para a próxima etapa da segurança de produtos

O fundador e CEO Matt Wyckhouse descreveu o desafio como uma lacuna crescente entre a velocidade com que a IA auxilia na descoberta de vulnerabilidades e a capacidade dos fabricantes de identificar os produtos afetados. O novo financiamento apoiará tanto o desenvolvimento da plataforma quanto a expansão de sua presença internacional.

O grupo de investidores também reflete a diversidade dos sistemas expostos a riscos na cadeia de suprimentos de software. A segurança de dispositivos conectados vai além da TI convencional e abrange infraestrutura energética, operações industriais, transporte e saúde — ambientes nos quais identificar uma falha e implementar uma correção segura pode envolver muitas partes.

A Série C da Finite State financia uma estratégia voltada a tornar essas decisões mais viáveis: inspecionar o software enviado, relacionar as descobertas aos produtos afetados, priorizar exposições relevantes e preservar evidências das medidas adotadas. À medida que a IA acelera a identificação de possíveis vulnerabilidades, a oportunidade comercial está em ajudar os fabricantes a transformar esse volume crescente de descobertas em ações justificáveis.