Finite State huy động 27 triệu USD trong vòng Series C để mở rộng bảo mật thiết bị ứng dụng AI

Finite State đã huy động 27 triệu USD trong vòng gọi vốn Series C nhằm mở rộng nền tảng bảo mật sản phẩm ứng dụng AI và hoạt động quốc tế. Vòng gọi vốn do các quỹ tư nhân được The O.H.I.O. Fund quản lý dẫn dắt, với sự tham gia của CIBC Innovation Banking, Energy Impact Partners, Energize Capital và National Grid Partners.

Công ty có trụ sở tại Columbus, Ohio tập trung giải quyết một vấn đề ngày càng đáng lo ngại khi tốc độ phát hiện lỗ hổng tăng lên: các nhà sản xuất cần biết chính xác phần mềm nào đang chạy bên trong những thiết bị họ bán. Lỗi trong một thành phần dùng chung có thể ảnh hưởng đến xe cộ, thiết bị y tế, hệ thống công nghiệp hoặc đồ điện tử tiêu dùng, nhưng việc xác định sản phẩm hoàn thiện nào có chứa thành phần đó có thể rất khó khăn.

Finite State dự định sử dụng nguồn vốn này để mở rộng hiện diện tại các thị trường quốc tế và phát triển thêm các khả năng tự vận hành cho nền tảng. Công nghệ của công ty kết hợp phân tích hiện vật phần mềm với thông tin tình báo về lỗ hổng và quy trình tuân thủ, nhằm biến danh mục mã đã được đưa vào sản phẩm thành cơ sở để quyết định vấn đề nào cần được xử lý.

Kiểm tra phần mềm thực sự được đưa vào sản phẩm

Các sản phẩm kết nối được lắp ghép từ nhiều nguồn: hệ điều hành, thư viện mã nguồn mở, bộ công cụ phát triển phần mềm (SDK) của nhà cung cấp, gói hỗ trợ bo mạch và ứng dụng độc quyền. Nhà sản xuất có thể kiểm soát mã nguồn của mình nhưng lại ít có khả năng quan sát các thành phần đã biên dịch do nhà cung cấp khác cung ứng.

Bản kê khai quá trình dựng phần mềm mô tả những gì quy trình phát triển dự kiến sẽ bao gồm. Phân tích phần sụn kiểm tra hiện vật được tạo ra từ quy trình đó. Sự khác biệt này rất quan trọng khi khâu đóng gói bổ sung một thành phần, nhà cung cấp chỉnh sửa thư viện hoặc một phần phụ thuộc được biên dịch trực tiếp vào tệp thực thi.

Tài liệu phân tích tệp nhị phân của Finite State mô tả cách giải nén ảnh phần sụn, vùng chứa, kho lưu trữ và tệp thực thi, sau đó xác định các thành phần bằng phương pháp phân tích thành phần phần mềm nhị phân. Nền tảng cũng áp dụng kiểm thử bảo mật ứng dụng tĩnh cho mã đã biên dịch, để tìm kiếm các điểm yếu ngoài phạm vi một danh sách tên gói đơn giản.

Danh mục thu được có thể bao gồm các thành phần đã chỉnh sửa và được liên kết tĩnh, cùng các phát hiện được bổ sung thông tin về lỗ hổng, mã khai thác và giấy phép. Quá trình phân tích cũng tìm kiếm thông tin xác thực được mã hóa cứng, khóa bị lộ và vấn đề mật mã. Các đầu vào được hỗ trợ gồm phần sụn, thư viện dùng chung, tệp nhị phân của ứng dụng di động và phần mềm bên thứ ba, cũng như mã nguồn nếu có.

Đây là nền tảng cho lập luận của công ty: các quyết định bảo mật nên dựa trên nội dung của sản phẩm hoàn thiện, thay vì hoàn toàn phụ thuộc vào tài liệu đi kèm sản phẩm.

Biến danh mục thành phần thành quyết định khắc phục

Phát hiện một thành phần dễ bị tấn công mới chỉ là bước khởi đầu. Nhóm phát triển sản phẩm vẫn cần xác định liệu có thể truy cập đoạn mã bị ảnh hưởng hay không, liệu mã khai thác có liên quan đến cấu hình của thiết bị hay không, và những bản phát hành hoặc biến thể sản phẩm nào cần được sửa lỗi.

Tổng quan về nền tảng của Finite State mô tả cách ưu tiên dựa trên khả năng truy cập, thông tin tình báo về mã khai thác và bối cảnh sản phẩm. Mục tiêu là giảm thời gian kỹ sư phải bỏ ra để điều tra những phát hiện không đồng nghĩa với cùng một mức độ rủi ro thực tế.

Danh mục thành phần phần mềm (SBOM) ghi lại các thành phần có trong một sản phẩm. Bản trao đổi về khả năng khai thác lỗ hổng (VEX) bổ sung thông tin về việc một lỗ hổng cụ thể có ảnh hưởng đến sản phẩm đó hay không. Kết hợp lại, các hồ sơ này giúp phân biệt câu hỏi về danh mục—một thành phần có hiện diện hay không—với việc đánh giá rủi ro do thành phần đó gây ra.

Finite State cho biết nền tảng của họ có thể xác định các lỗ hổng đã biết và chưa từng được biết đến trước đây. Khả năng này kết hợp nhiều phương pháp phân tích: đối chiếu các thành phần với những vấn đề đã được công bố và kiểm tra mã đã biên dịch để tìm điểm yếu. Giá trị của kết quả phụ thuộc vào bằng chứng làm cơ sở cho phát hiện và mức độ liên quan của phát hiện đó với thiết bị, chứ không chỉ phụ thuộc vào số lượng cảnh báo được tạo ra.

Tự động hóa bằng AI vẫn cần bằng chứng về chất lượng phân tích

Một ví dụ thực tế về ứng dụng AI của công ty là Tác nhân đánh giá khả năng giải nén bằng AI, được giới thiệu vào đầu năm 2026. Tác nhân này đánh giá mức độ đầy đủ của quá trình trích xuất hiện vật đã tải lên và giải thích những thiếu sót có thể hạn chế quá trình phân tích tiếp theo.

Bước này rất quan trọng vì công cụ quét không thể đánh giá đoạn mã mà nó chưa trích xuất thành công. Vùng chứa được mã hóa, kho lưu trữ lồng nhau hoặc cách đóng gói phần sụn bất thường có thể khiến một phần hiện vật nằm ngoài phạm vi quan sát của công cụ quét.

Finite State cho biết tác nhân này đưa ra xếp hạng chất lượng, xác định các nguyên nhân có thể dẫn đến việc trích xuất không đầy đủ và đề xuất những hành động như giải mã nội dung, giải nén cục bộ hoặc đóng gói lại kho lưu trữ trước khi tải lên lần nữa. Tính năng tự động hóa giúp các nhóm hiểu rõ phạm vi mà quá trình phân tích đã bao quát, thay vì mặc định mọi lần quét hoàn tất đều có mức độ toàn diện như nhau.

Nền tảng rộng hơn kết nối quá trình phân tích đó với các quy trình có thể rà soát. Kiến trúc được công bố mô tả cách đưa phần sụn, tệp nhị phân, mã nguồn, SBOM của nhà cung cấp và tài liệu vào một quy trình thống nhất để tạo ra các phát hiện bảo mật, bằng chứng xác minh và báo cáo.

Kết nối bảo mật sản phẩm với công tác tuân thủ

Thông báo tài trợ cho thấy áp lực pháp lý, bên cạnh nhu cầu phát hiện lỗ hổng nhanh hơn, đang thúc đẩy nhu cầu. Các nhà sản xuất ngày càng cần bằng chứng cho thấy họ đã xác định rủi ro phần mềm, đánh giá tác động và xử lý những rủi ro đó như thế nào trong suốt vòng đời sản phẩm.

Finite State tạo SBOM, bản ghi VEX và các bộ hồ sơ tuân thủ gắn với các cấu phần sản phẩm. Nền tảng này cũng kết nối kiến trúc, yêu cầu bảo mật và công tác xác minh, giúp các nhóm liên kết một quyết định thiết kế với phần mềm được đưa đến tay khách hàng.

Mối liên kết đó có thể giúp theo dõi những thay đổi giữa các phiên bản phát hành dễ dàng hơn. Khi nhà cung cấp cập nhật một cấu phần hoặc nhà sản xuất phát hành hình ảnh firmware mới, bằng chứng bảo mật cần phản ánh cấu phần mới thay vì vẫn là tài liệu tĩnh từ một phiên bản phát hành trước đó.

Thông báo có trích dẫn phản hồi từ JET OPTOELECTRONICS, nhà cung cấp cấp 1 về điện tử ô tô và buồng lái thông minh. Bruce Lin, quản lý cấp cao tại bộ phận phần mềm của công ty, nhấn mạnh khả năng theo dõi các thiết bị đã xuất xưởng, các phần phụ thuộc trực tiếp và gián tiếp, cũng như bằng chứng tuân thủ được đối chiếu với những yêu cầu mà nhà cung cấp phải đáp ứng của Finite State.

Cấp vốn cho giai đoạn tiếp theo của bảo mật sản phẩm

Nhà sáng lập kiêm CEO Matt Wyckhouse mô tả thách thức là khoảng cách ngày càng lớn giữa tốc độ phát hiện lỗ hổng có sự hỗ trợ của AI và khả năng xác định các sản phẩm bị ảnh hưởng của nhà sản xuất. Khoản vốn mới hỗ trợ cả việc phát triển nền tảng lẫn mở rộng sự hiện diện trên phạm vi quốc tế.

Nhóm nhà đầu tư cũng phản ánh sự đa dạng của các hệ thống có nguy cơ bị ảnh hưởng bởi rủi ro trong chuỗi cung ứng phần mềm. Bảo mật thiết bị kết nối không chỉ giới hạn ở lĩnh vực CNTT truyền thống mà còn mở rộng sang hạ tầng năng lượng, hoạt động công nghiệp, giao thông vận tải và y tế—những môi trường mà việc xác định lỗ hổng và triển khai bản sửa lỗi an toàn có thể cần sự tham gia của nhiều bên.

Vòng Series C của Finite State hậu thuẫn chiến lược giúp việc đưa ra những quyết định đó trở nên khả thi hơn: kiểm tra phần mềm đã xuất xưởng, liên kết các phát hiện với những sản phẩm bị ảnh hưởng, ưu tiên những rủi ro đáng kể và lưu giữ bằng chứng về biện pháp ứng phó. Khi AI giúp phát hiện điểm yếu tiềm ẩn nhanh hơn, cơ hội kinh doanh nằm ở việc hỗ trợ các nhà sản xuất biến khối lượng phát hiện ngày càng tăng thành hành động có cơ sở vững chắc.