Finite State залучила 27 мільйонів доларів у межах раунду фінансування серії C для розширення системи безпеки пристроїв на основі ШІ

Finite State залучила 27 мільйонів доларів у межах раунду фінансування серії C, щоб розширити свою платформу безпеки продуктів на основі ШІ та міжнародну діяльність. Раунд очолили приватні фонди під управлінням Фонду O.H.I.O.; до нього також долучилися CIBC Innovation Banking, Energy Impact Partners, Energize Capital і National Grid Partners.

Компанія з Колумбуса, штат Огайо, зосереджена на проблемі, важливість якої зростає разом із прискоренням виявлення вразливостей: виробникам потрібно знати, яке програмне забезпечення насправді працює в пристроях, які вони продають. Уразливість у спільному компоненті може вплинути на транспортні засоби, медичне обладнання, промислові системи чи споживчу електроніку, однак визначити, які готові продукти містять цей компонент, буває складно.

Finite State планує використати залучений капітал, щоб посилити присутність на міжнародних ринках і розвинути більш автономні можливості платформи. Її технологія поєднує аналіз програмних артефактів із даними про вразливості та робочими процесами забезпечення відповідності вимогам, прагнучи перетворити перелік відвантаженого коду на рішення про те, на що слід звернути увагу.

Аналіз програмного забезпечення, яке фактично постачається

Під’єднані продукти складаються з компонентів із багатьох джерел: операційної системи, бібліотек із відкритим кодом, SDK постачальників, пакетів підтримки системної плати та власних застосунків. Виробники можуть контролювати власний вихідний код, водночас маючи обмежену видимість щодо скомпільованих компонентів, які постачають інші виробники.

Маніфест складання описує, що, за очікуваннями, має містити процес розробки. Аналіз мікропрограмного забезпечення досліджує артефакт, створений у результаті цього процесу. Ця різниця має значення, коли під час пакування додається компонент, постачальник змінює бібліотеку або залежність компілюється безпосередньо у виконуваний файл.

У документації з бінарного аналізу Finite State описано розпакування образів мікропрограмного забезпечення, контейнерів, архівів і виконуваних файлів, а потім виявлення компонентів за допомогою бінарного аналізу складу програмного забезпечення. Також застосовується статичне тестування безпеки застосунків до скомпільованого коду, що дає змогу виявляти слабкі місця, які не відображаються у простому переліку назв пакетів.

Отриманий перелік може містити змінені та статично скомпоновані компоненти, а результати аналізу доповнюються інформацією про вразливості, експлойти та ліцензії. Аналіз також виявляє облікові дані, жорстко закладені в код, незахищені ключі та проблеми з криптографією. Серед підтримуваних вхідних даних — мікропрограмне забезпечення, спільні бібліотеки, бінарні файли мобільних застосунків і програмне забезпечення сторонніх розробників, а також вихідний код, якщо він доступний.

У цьому полягає основа позиціонування компанії: рішення щодо безпеки мають ґрунтуватися на вмісті готового продукту, а не повністю залежати від документації, що його супроводжує.

Від переліку компонентів до рішення про усунення проблеми

Виявлення вразливого компонента — лише початок. Команді, яка працює над продуктом, ще потрібно з’ясувати, чи можна отримати доступ до вразливого коду, чи стосується експлойт конфігурації пристрою та в яких випусках або варіантах продукту потрібно виправити проблему.

В огляді платформи Finite State описано визначення пріоритетів на основі досяжності, даних про експлойти та контексту продукту. Мета — скоротити час, який інженери витрачають на розслідування знахідок, що не свідчать про однаковий рівень реального ризику.

Перелік компонентів програмного забезпечення (SBOM) фіксує, які компоненти входять до продукту. Обмін даними про експлуатованість вразливостей (VEX) доповнює його інформацією про те, чи впливає певна вразливість на цей продукт. Разом ці записи допомагають відрізнити питання інвентаризації — чи є компонент у продукті — від оцінювання ризику, який він створює.

Finite State стверджує, що її платформа може виявляти відомі та раніше невідомі вразливості. Для цього поєднуються різні види аналізу: компоненти зіставляються з оприлюдненими відомостями про проблеми, а скомпільований код перевіряється на наявність слабких місць. Корисність результату залежить від доказів, що лежать в основі знахідки, та її релевантності для пристрою, а не лише від кількості згенерованих сповіщень.

Для автоматизації за допомогою ШІ досі потрібні докази якості аналізу

Один із практичних прикладів роботи компанії у сфері ШІ — її агент оцінювання розпакування за допомогою ШІ, представлений раніше у 2026 році. Агент оцінює, наскільки повно було витягнуто вміст завантаженого артефакту, і пояснює прогалини, які можуть обмежити подальший аналіз.

Цей етап важливий, оскільки сканер не може проаналізувати код, який не вдалося витягнути. Зашифровані контейнери, вкладені архіви або незвичне пакування мікропрограмного забезпечення можуть залишити частину артефакту поза межами видимості сканера.

За словами Finite State, агент оцінює якість, визначає ймовірні причини неповного витягування даних і рекомендує такі дії, як розшифрування вмісту, локальне розпакування або повторне пакування архіву перед наступним завантаженням. Автоматизація допомагає командам зрозуміти, що саме охопив аналіз, а не вважати кожне завершене сканування однаково всебічним.

Платформа також пов’язує цей аналіз із робочими процесами, результати яких можна перевірити. В опублікованому описі архітектури йдеться про об’єднання мікропрограмного забезпечення, бінарних файлів, вихідного коду, SBOM від постачальників і документації в єдиний процес створення результатів аналізу безпеки, доказів перевірки та звітів.

Поєднання безпеки продукту з роботою над дотриманням вимог

В оголошенні про фінансування регуляторний тиск названо одним із чинників попиту поряд зі швидшим виявленням вразливостей. Виробникам дедалі частіше потрібні докази того, як вони виявляли ризики програмного забезпечення, оцінювали їхній вплив і усували їх протягом життєвого циклу продукту.

Finite State формує специфікації складу програмного забезпечення (SBOM), записи VEX і пакети документів для підтвердження відповідності, пов’язані з артефактами продукту. Платформа також пов’язує архітектуру, вимоги безпеки та роботи з верифікації, допомагаючи командам простежити зв’язок між проєктним рішенням і програмним забезпеченням, яке зрештою отримує клієнт.

Завдяки цьому зміни від одного випуску до наступного легше відстежувати. Коли постачальник оновлює компонент або виробник випускає новий образ прошивки, докази безпеки мають відповідати новому артефакту, а не залишатися незмінним документом із попереднього випуску.

В оголошенні наведено відгук JET OPTOELECTRONICS — постачальника першого рівня автомобільної електроніки та систем інтелектуального кокпіта. Брюс Лін, старший менеджер відділу програмного забезпечення компанії, відзначив, що Finite State забезпечує видимість пристроїв, які вже постачаються, прямих і транзитивних залежностей, а також доказів відповідності, зіставлених із вимогами, яких має дотримуватися постачальник.

Фінансування наступного етапу безпеки продукту

Засновник і генеральний директор Метт Вайкгаус описав проблему як дедалі більший розрив між швидкістю виявлення вразливостей за допомогою ШІ та здатністю виробників визначати, яких продуктів вони стосуються. Нове фінансування сприятиме як розвитку платформи, так і розширенню міжнародної присутності.

Група інвесторів також відображає різноманітність систем, яким загрожують ризики в ланцюгах постачання програмного забезпечення. Безпека під’єднаних пристроїв виходить за межі традиційних ІТ-систем і охоплює енергетичну інфраструктуру, промислові операції, транспорт і охорону здоров’я — сфери, де для виявлення вразливості та безпечного впровадження виправлення можуть знадобитися зусилля багатьох сторін.

Раунд фінансування Series C для Finite State підтримує стратегію, покликану спростити ухвалення таких рішень: перевіряти програмне забезпечення, що постачається, пов’язувати результати перевірок із продуктами, яких вони стосуються, визначати пріоритетність суттєвих ризиків і зберігати докази вжитих заходів. Оскільки ШІ пришвидшує виявлення потенційних вразливостей, комерційна можливість полягає в тому, щоб допомогти виробникам перетворювати дедалі більший потік таких результатів на дії, які можна обґрунтувати.