Finite State привлекает 27 млн долларов в рамках раунда финансирования серии C для расширения безопасности устройств на базе ИИ

Finite State привлекла 27 млн долларов в рамках раунда финансирования серии C, чтобы расширить свою платформу безопасности продуктов на базе ИИ и международную деятельность. Раунд возглавили частные фонды под управлением The O.H.I.O. Fund; в нем также приняли участие CIBC Innovation Banking, Energy Impact Partners, Energize Capital и National Grid Partners.

Компания, базирующаяся в Колумбусе, штат Огайо, сосредоточена на проблеме, которая становится все острее по мере ускорения выявления уязвимостей: производителям необходимо знать, какое программное обеспечение фактически работает внутри продаваемых ими устройств. Уязвимость в общем компоненте может затронуть автомобили, медицинское оборудование, промышленные системы или бытовую электронику, однако определить, в каких готовых изделиях содержится этот компонент, бывает непросто.

Finite State планирует направить привлеченные средства на укрепление позиций на международных рынках и развитие более автономных возможностей платформы. Ее технология объединяет анализ программных артефактов, данные об уязвимостях и процессы обеспечения соответствия требованиям, стремясь превратить перечень поставленного кода в решения о том, на что необходимо обратить внимание.

Анализ программного обеспечения, которое действительно поставляется

Подключенные устройства собираются из множества компонентов: операционной системы, библиотек с открытым исходным кодом, SDK поставщиков, пакетов поддержки системных плат и собственных приложений. Производители могут контролировать исходный код, который разрабатывают сами, но при этом иметь ограниченное представление о скомпилированных компонентах, поставляемых другими компаниями.

Манифест сборки описывает, какие компоненты, как предполагается, должны войти в продукт в ходе разработки. Анализ прошивки исследует артефакт, полученный в результате этого процесса. Различие имеет значение, если при упаковке добавляется компонент, поставщик изменяет библиотеку или зависимость компилируется непосредственно в исполняемый файл.

В документации по бинарному анализу Finite State описывает распаковку образов прошивок, контейнеров, архивов и исполняемых файлов с последующим выявлением компонентов посредством бинарного анализа состава программного обеспечения. Компания также применяет статическое тестирование безопасности приложений к скомпилированному коду, выявляя слабые места, которые не обнаружить простым перечислением названий пакетов.

Итоговый перечень может включать измененные компоненты и компоненты, статически скомпонованные с программой; результаты анализа дополняются сведениями об уязвимостях, эксплойтах и лицензиях. Анализ также выявляет учетные данные, жестко заданные в коде, раскрытые ключи и криптографические проблемы. Поддерживаются такие входные данные, как прошивки, разделяемые библиотеки, двоичные файлы мобильных приложений и стороннее программное обеспечение, а также исходный код, если он доступен.

В этом и заключается основная идея компании: решения в области безопасности должны основываться на содержимом готового продукта, а не целиком зависеть от сопроводительной документации.

От перечня компонентов — к решению об устранении проблем

Выявление уязвимого компонента — лишь первый шаг. Команде, работающей над продуктом, еще предстоит определить, можно ли получить доступ к уязвимому коду, актуален ли эксплойт для конфигурации устройства и какие версии или варианты продукта нуждаются в исправлении.

В обзоре платформы Finite State описана приоритизация с учетом доступности уязвимого кода, данных об эксплойтах и контекста продукта. Цель — сократить время, которое инженеры тратят на изучение результатов, не свидетельствующих об одинаковом уровне реального риска.

Перечень компонентов программного обеспечения (SBOM) фиксирует, какие компоненты входят в продукт. Формат Vulnerability Exploitability eXchange (VEX) дополняет эти сведения информацией о том, затрагивает ли конкретная уязвимость данный продукт. Вместе эти документы помогают отличить вопрос инвентаризации — присутствует ли компонент в продукте — от оценки создаваемого им риска.

По словам Finite State, платформа способна выявлять как известные, так и ранее неизвестные уязвимости. Для этого сочетаются разные виды анализа: компоненты сопоставляются с опубликованной информацией об уязвимостях, а скомпилированный код проверяется на наличие слабых мест. Полезность результата зависит от доказательств, лежащих в основе обнаружения, и от его значимости для устройства, а не просто от количества выданных предупреждений.

Для автоматизации анализа с помощью ИИ по-прежнему нужны доказательства его качества

Один из практических примеров работы компании с ИИ — агент оценки распаковки с помощью ИИ, представленный ранее в 2026 году. Агент оценивает, насколько полно был извлечен загруженный артефакт, и объясняет, какие пробелы могут ограничить последующий анализ.

Этот этап важен, поскольку сканер не может проверить код, который не удалось извлечь. Зашифрованные контейнеры, вложенные архивы или нестандартная упаковка прошивки могут скрыть от сканера часть артефакта.

По словам Finite State, агент выставляет оценку качества, определяет вероятные причины неполного извлечения и рекомендует такие действия, как расшифровка содержимого, его локальная распаковка или повторная упаковка архива перед новой загрузкой. Автоматизация помогает командам понять, что именно охватил анализ, вместо того чтобы считать каждое завершенное сканирование одинаково полным.

Платформа в целом связывает этот анализ с процессами, результаты которых можно проверять. В опубликованном описании архитектуры говорится, что прошивки, двоичные файлы, исходный код, SBOM поставщиков и документация объединяются в единый процесс подготовки результатов анализа безопасности, подтверждающих материалов и отчетов.

Связь безопасности продукции с соблюдением нормативных требований

В сообщении о привлечении финансирования усиление нормативного давления названо наряду с ускорением выявления уязвимостей фактором роста спроса. Производителям всё чаще нужны данные, показывающие, как они выявляли риски, связанные с программным обеспечением, оценивали их влияние и устраняли их на протяжении всего жизненного цикла продукта.

Finite State формирует спецификации состава программного обеспечения (SBOM), записи VEX и пакеты документов для подтверждения соответствия, связанные с артефактами продукта. Платформа также связывает архитектуру, требования безопасности и работы по проверке, помогая командам соотносить проектные решения с программным обеспечением, которое в итоге попадает к заказчику.

Это упрощает отслеживание изменений между выпусками. Когда поставщик обновляет компонент или производитель выпускает новый образ прошивки, данные о безопасности должны отражать новый артефакт, а не оставаться статичным документом от предыдущего выпуска.

В сообщении также приводится отзыв JET OPTOELECTRONICS — поставщика первого уровня автомобильной электроники и интеллектуальных кокпитов. Брюс Лин, старший менеджер отдела программного обеспечения компании, отметил, что Finite State обеспечивает видимость поставленных устройств и их прямых и транзитивных зависимостей, а также предоставляет данные о соответствии требованиям, с которыми сталкивается поставщик.

Финансирование следующего этапа обеспечения безопасности продукции

Основатель и генеральный директор Мэтт Уайкхаус описал проблему как растущий разрыв между темпами выявления уязвимостей с помощью ИИ и способностью производителей определять, какие продукты затронуты. Новое финансирование поддержит как развитие платформы, так и расширение международного присутствия компании.

Состав группы инвесторов также отражает разнообразие систем, подверженных рискам в цепочке поставок программного обеспечения. Безопасность подключенных устройств важна не только для традиционной ИТ-сферы, но и для энергетической инфраструктуры, промышленных процессов, транспорта и здравоохранения — областей, где для выявления уязвимости и безопасного внедрения исправления может потребоваться участие многих сторон.

Раунд Series C позволит Finite State реализовать стратегию, призванную упростить принятие таких решений: проверять поставляемое программное обеспечение, связывать результаты анализа с затрагиваемыми продуктами, расставлять приоритеты с учетом существенности рисков и сохранять подтверждающие данные о принятых мерах. По мере того как ИИ ускоряет поиск потенциальных уязвимостей, коммерческая возможность заключается в том, чтобы помочь производителям превращать растущий поток результатов анализа в обоснованные действия.