Finite State tar in 27 miljoner dollar i en serie C-finansieringsrunda för att utöka säkerheten för AI-drivna enheter

Finite State har tagit in 27 miljoner dollar i en serie C-finansieringsrunda för att utöka sin AI-drivna plattform för produktsäkerhet och sin internationella verksamhet. Rundan leddes av privata fonder förvaltade av The O.H.I.O. Fund, med deltagande från CIBC Innovation Banking, Energy Impact Partners, Energize Capital och National Grid Partners.

Företaget, som har sitt säte i Columbus i Ohio, fokuserar på ett problem som blir allt mer betydelsefullt i takt med att sårbarheter upptäcks snabbare: tillverkarna behöver veta vilken programvara som faktiskt körs i de enheter de säljer. En brist i en gemensam komponent kan påverka fordon, medicinsk utrustning, industrisystem eller hemelektronik, men det kan vara svårt att avgöra vilka färdiga produkter som innehåller komponenten.

Finite State planerar att använda kapitalet till att stärka sin närvaro på internationella marknader och utveckla fler autonoma funktioner i plattformen. Tekniken kombinerar analys av programvaruartefakter med sårbarhetsinformation och arbetsflöden för regelefterlevnad, med målet att omvandla en förteckning över levererad kod till beslut om vad som behöver åtgärdas.

Granskning av programvaran som faktiskt levereras

Uppkopplade produkter sätts samman av många olika delar: ett operativsystem, bibliotek med öppen källkod, leverantörers SDK:er, kortstödspaket och proprietära applikationer. Tillverkarna kan ha kontroll över sin egen källkod, men begränsad insyn i kompilerade komponenter från andra leverantörer.

Ett byggmanifest beskriver vad en utvecklingsprocess förväntas innehålla. Analys av fast programvara granskar den artefakt som processen producerar. Skillnaden spelar roll när paketeringen lägger till en komponent, en leverantör ändrar ett bibliotek eller ett beroende kompileras direkt in i en körbar fil.

Finite States dokumentation om binäranalys beskriver hur avbildningar av fast programvara, behållare, arkiv och körbara filer packas upp, varefter komponenterna identifieras genom binär programvarusammansättningsanalys. Den omfattar även statisk säkerhetstestning av applikationer på kompilerad kod, där svagheter granskas utöver en enkel lista över paketnamn.

Den resulterande förteckningen kan innehålla ändrade och statiskt länkade komponenter, och resultaten kompletteras med information om sårbarheter, exploateringar och licenser. Analysen söker också efter hårdkodade autentiseringsuppgifter, exponerade nycklar och kryptografiska problem. Bland de filtyper som stöds finns fast programvara, delade bibliotek, binärfiler för mobilappar och programvara från tredje part, liksom källkod när den finns tillgänglig.

Detta är grunden för företagets erbjudande: säkerhetsbeslut bör utgå från innehållet i den färdiga produkten, i stället för att helt förlita sig på dokumentationen som följer med den.

Från komponentförteckning till beslut om åtgärder

Att hitta en sårbar komponent är bara början. Produktteamet behöver fortfarande avgöra om den berörda koden går att nå, om en exploatering är relevant för enhetens konfiguration och vilka versioner eller produktvarianter som behöver åtgärdas.

Finite States plattformsöversikt beskriver en prioritering som bygger på nåbarhet, information om exploateringar och produktkontext. Målet är att minska den tid ingenjörerna lägger på att undersöka fynd som inte innebär samma grad av faktisk exponering.

En programvaruförteckning (SBOM) registrerar komponenterna i en produkt. Vulnerability Exploitability eXchange (VEX) tillför information om huruvida en viss sårbarhet påverkar produkten. Tillsammans hjälper dessa dokument till att skilja en inventeringsfråga – om en komponent finns med – från en bedömning av den risk den medför.

Finite State uppger att plattformen kan identifiera både kända och tidigare okända sårbarheter. Det innebär en kombination av olika analystyper: komponenter jämförs med offentliggjorda problem samtidigt som kompilerad kod granskas efter svagheter. Resultatets värde beror på beläggen bakom ett fynd och dess relevans för enheten, inte bara på antalet aviseringar.

AI-automatisering kräver fortfarande belägg för analysens kvalitet

Ett konkret exempel på företagets AI-arbete är dess AI-agent för utvärdering av uppackning, som introducerades tidigare under 2026. Agenten bedömer hur fullständigt en uppladdad artefakt har extraherats och förklarar brister som kan begränsa den efterföljande analysen.

Det steget är viktigt eftersom en genomsökning inte kan bedöma kod som aldrig har extraherats korrekt. Krypterade behållare, nästlade arkiv eller ovanlig paketering av fast programvara kan göra att delar av en artefakt inte blir synliga för skannern.

Finite State uppger att agenten ger ett kvalitetsbetyg, identifierar sannolika orsaker till ofullständig extrahering och rekommenderar åtgärder som att dekryptera innehåll, packa upp det lokalt eller paketera om ett arkiv före en ny uppladdning. Automatiseringen hjälper teamen att förstå vad analysen omfattade, i stället för att behandla varje slutförd genomsökning som lika heltäckande.

Den bredare plattformen kopplar analysen till arbetsflöden som går att granska. Den publicerade arkitekturen beskriver hur fast programvara, binärfiler, källkod, leverantörers SBOM:er och dokumentation förs in i en gemensam process för att ta fram säkerhetsfynd, verifieringsunderlag och rapporter.

Att koppla produktsäkerhet till regelefterlevnad

Finansieringsbeskedet lyfter fram regeltryck, vid sidan av snabbare upptäckt av sårbarheter, som en drivkraft bakom efterfrågan. Tillverkare behöver i allt högre grad kunna visa hur de har identifierat programvarurisker, bedömt deras konsekvenser och hanterat dem under produktens hela livscykel.

Finite State genererar SBOM:er, VEX-poster och paket med efterlevnadsunderlag kopplade till produktartefakter. Plattformen kopplar också samman arkitektur, säkerhetskrav och verifieringsarbete, vilket hjälper team att knyta ett designbeslut till den programvara som når kunden.

Den kopplingen kan göra det lättare att följa förändringar mellan produktversioner. När en leverantör uppdaterar en komponent eller en tillverkare levererar en ny firmwareavbildning måste säkerhetsunderlaget återspegla den nya artefakten, i stället för att förbli ett oföränderligt dokument från en tidigare version.

I beskedet ingår också kommentarer från JET OPTOELECTRONICS, en Tier 1-leverantör av fordonselektronik och smarta cockpitlösningar. Bruce Lin, senior chef på företagets programvaruavdelning, framhöll Finite States insyn i levererade enheter, direkta och indirekta beroenden samt efterlevnadsunderlag kopplat till de krav som leverantören måste uppfylla.

Finansiering av nästa fas inom produktsäkerhet

Grundaren och vd:n Matt Wyckhouse beskrev utmaningen som en växande klyfta mellan hur snabbt AI-stödd sårbarhetsidentifiering går och tillverkarnas förmåga att identifiera berörda produkter. Den nya finansieringen stöder både plattformsutveckling och en bredare internationell närvaro.

Investerargruppen speglar också bredden av de system som exponeras för risker i programvaruförsörjningskedjan. Säkerhet för uppkopplade enheter sträcker sig bortom traditionell IT till kraftinfrastruktur, industriell verksamhet, transporter och hälso- och sjukvård – miljöer där det kan krävas många aktörer för att identifiera ett fel och införa en säker korrigering.

Finite States Series C-finansiering stöder en strategi som syftar till att göra sådana beslut mer hanterbara: granska den levererade programvaran, koppla resultaten till de produkter de berör, prioritera betydande exponering och bevara dokumentation av åtgärderna. När AI gör det snabbare att hitta potentiella svagheter ligger affärsmöjligheten i att hjälpa tillverkare att omvandla den växande mängden upptäckter till väl underbyggda åtgärder.