Finite State atrage 27 de milioane de dolari într-o rundă de finanțare de serie C pentru a extinde securitatea dispozitivelor bazată pe IA

Finite State a atras 27 de milioane de dolari într-o rundă de finanțare de serie C pentru a-și extinde platforma de securitate a produselor bazată pe IA și operațiunile internaționale. Runda a fost condusă de fonduri private administrate de The O.H.I.O. Fund, cu participarea CIBC Innovation Banking, Energy Impact Partners, Energize Capital și National Grid Partners.

Compania, cu sediul în Columbus, Ohio, se concentrează asupra unei probleme tot mai importante pe măsură ce descoperirea vulnerabilităților se accelerează: producătorii trebuie să știe ce software rulează efectiv pe dispozitivele pe care le vând. O vulnerabilitate într-o componentă comună poate afecta vehicule, echipamente medicale, sisteme industriale sau electronice de larg consum, însă poate fi dificil de stabilit care produse finite conțin acea componentă.

Finite State intenționează să folosească fondurile pentru a-și consolida prezența pe piețele internaționale și pentru a dezvolta capacități mai autonome ale platformei. Tehnologia sa combină analiza artefactelor software cu informații despre vulnerabilități și fluxuri de lucru pentru conformitate, urmărind să transforme inventarul codului livrat în decizii privind elementele care necesită atenție.

Analiza software-ului livrat efectiv

Produsele conectate sunt asamblate din numeroase surse: un sistem de operare, biblioteci cu sursă deschisă, kituri SDK furnizate de furnizori, pachete de suport pentru plăci și aplicații proprietare. Producătorii își pot controla propriul cod sursă, dar pot avea vizibilitate limitată asupra componentelor compilate furnizate de alți furnizori.

Un manifest de compilare descrie ce se preconizează că va include un proces de dezvoltare. Analiza firmware-ului examinează artefactul produs de acel proces. Diferența contează atunci când ambalarea adaugă o componentă, un furnizor modifică o bibliotecă sau o dependență este compilată direct într-un executabil.

Documentația Finite State privind analiza binară descrie despachetarea imaginilor de firmware, a containerelor, arhivelor și executabilelor, urmată de identificarea componentelor prin analiza compoziției software-ului binar. De asemenea, aplică testarea statică de securitate a aplicațiilor codului compilat, examinând vulnerabilități care depășesc o simplă listă de nume de pachete.

Inventarul rezultat poate include componente modificate și legate static, iar constatările sunt completate cu informații despre vulnerabilități, exploatări și licențe. Analiza caută, de asemenea, acreditări introduse direct în cod, chei expuse și probleme criptografice. Tipurile de date acceptate includ firmware, biblioteci partajate, fișiere binare ale aplicațiilor mobile și software de la terți, precum și cod sursă, atunci când este disponibil.

Aceasta este baza argumentului companiei: deciziile de securitate ar trebui să țină cont de conținutul produsului finit, nu să depindă în întregime de documentația care îl însoțește.

De la inventarul componentelor la decizia privind remedierea

Identificarea unei componente vulnerabile este doar începutul. Echipa de produs trebuie în continuare să stabilească dacă se poate ajunge la codul afectat, dacă o exploatare este relevantă pentru configurația dispozitivului și care versiuni sau variante ale produsului necesită o remediere.

Prezentarea generală a platformei Finite State descrie prioritizarea pe baza accesibilității codului, a informațiilor despre exploatări și a contextului produsului. Scopul este de a reduce timpul pe care inginerii îl petrec investigând constatări care nu indică același nivel de expunere practică.

O listă a materialelor software, sau SBOM, înregistrează componentele unui produs. Schimbul de informații privind exploatabilitatea vulnerabilităților, sau VEX, adaugă informații despre măsura în care o anumită vulnerabilitate afectează produsul respectiv. Împreună, aceste înregistrări ajută la deosebirea unei întrebări de inventariere — dacă o componentă este prezentă — de o evaluare a riscului pe care îl generează.

Finite State afirmă că platforma sa poate identifica vulnerabilități cunoscute și necunoscute anterior. Aceasta combină diferite tipuri de analiză: compararea componentelor cu problemele dezvăluite public și examinarea codului compilat pentru a depista vulnerabilități. Utilitatea rezultatului depinde de dovezile care susțin o constatare și de relevanța acesteia pentru dispozitiv, nu doar de numărul de alerte generate.

Automatizarea cu IA necesită în continuare dovezi privind calitatea analizei

Un exemplu practic al activității companiei în domeniul IA este Agentul de evaluare a despachetării cu IA, introdus la începutul anului 2026. Agentul evaluează cât de complet a fost extras un artefact încărcat și explică lacunele care pot limita analiza ulterioară.

Acest pas este important deoarece o scanare nu poate evalua codul pe care nu a reușit să-l extragă. Containerele criptate, arhivele imbricate sau ambalarea neobișnuită a firmware-ului pot face ca o parte a artefactului să rămână în afara câmpului vizual al scannerului.

Finite State afirmă că agentul oferă o evaluare a calității, identifică posibilele cauze ale extragerii incomplete și recomandă măsuri precum decriptarea conținutului, despachetarea acestuia local sau reîmpachetarea unei arhive înainte de o nouă încărcare. Automatizarea ajută echipele să înțeleagă ce a acoperit analiza, în loc să considere toate scanările finalizate la fel de cuprinzătoare.

Platforma, în ansamblu, conectează această analiză la fluxuri de lucru care pot fi revizuite. Arhitectura publicată descrie reunirea firmware-ului, fișierelor binare, codului sursă, listelor SBOM ale furnizorilor și documentației într-un proces comun de generare a constatărilor de securitate, a dovezilor de verificare și a rapoartelor.

Conectarea securității produselor la cerințele de conformitate

Anunțul privind finanțarea evidențiază presiunea reglementărilor, alături de identificarea mai rapidă a vulnerabilităților, ca factor care stimulează cererea. Producătorii au tot mai mult nevoie de dovezi care să arate cum au identificat riscurile software, le-au evaluat impactul și le-au abordat pe parcursul ciclului de viață al produsului.

Finite State generează SBOM-uri, înregistrări VEX și pachete de documente privind conformitatea, asociate artefactelor produselor. Platforma sa conectează, de asemenea, arhitectura, cerințele de securitate și activitățile de verificare, ajutând echipele să coreleze o decizie de proiectare cu software-ul care ajunge la client.

Această legătură poate facilita urmărirea modificărilor de la o versiune la alta. Când un furnizor actualizează o componentă sau un producător livrează o nouă imagine de firmware, dovezile privind securitatea trebuie să reflecte noul artefact, nu să rămână într-un document static dintr-o versiune anterioară.

Anunțul include mărturia JET OPTOELECTRONICS, un furnizor de nivel 1 de componente electronice auto și sisteme pentru cockpituri inteligente. Bruce Lin, manager senior în departamentul său de software, a evidențiat vizibilitatea oferită de Finite State asupra dispozitivelor livrate, a dependențelor directe și tranzitive, precum și a dovezilor de conformitate corelate cu cerințele cu care se confruntă furnizorul.

Finanțarea următoarei etape a securității produselor

Fondatorul și directorul general Matt Wyckhouse a descris provocarea drept o diferență tot mai mare între viteza cu care inteligența artificială facilitează identificarea vulnerabilităților și capacitatea producătorilor de a identifica produsele afectate. Noua finanțare susține atât dezvoltarea platformei, cât și extinderea prezenței internaționale.

Grupul de investitori reflectă, de asemenea, varietatea sistemelor expuse riscurilor din lanțul de aprovizionare cu software. Securitatea dispozitivelor conectate depășește sfera IT-ului convențional și se extinde la infrastructura energetică, operațiunile industriale, transporturi și asistența medicală — medii în care identificarea unei vulnerabilități și implementarea unei remedieri sigure pot implica numeroase părți.

Investiția din seria C în Finite State susține o strategie menită să facă aceste decizii mai ușor de gestionat: inspectarea software-ului livrat, corelarea constatărilor cu produsele afectate, prioritizarea expunerilor relevante și păstrarea dovezilor privind măsurile luate. Pe măsură ce inteligența artificială accelerează identificarea potențialelor vulnerabilități, oportunitatea comercială constă în a-i ajuta pe producători să transforme volumul tot mai mare de constatări în acțiuni justificabile.