Finite State获2700万美元，固件SBOM与CRA合规

资讯专家

设备固件与软件安全厂商Finite State宣布完成2700万美元C轮融资。本轮由The O.H.I.O. Fund管理的私募基金领投，CIBC Innovation Banking、Energy Impact Partners、Energize Capital和National Grid Partners参与。资金将用于国际扩张，并提升其联网设备安全平台的自主化能力。

该公司将平台定位为检查设备中实际发布的代码，覆盖软件和固件；分析对象是编译后的固件和二进制文件，不依赖源代码。其用户主要是汽车、医疗设备、工业设备、消费电子和公用事业基础设施制造商。

平台用于发现已知漏洞和0day，并帮助厂商修复其中可被利用的问题。合规方面，平台持续生成SBOM、VEX文档和带签名的合规包，以支持满足欧盟《网络弹性法案》（CRA）、FDA上市前网络安全要求、UNECE R155/R156车辆法规以及IEC 62443工业标准等。

平台上的AI agent可执行分析、分类、测试并起草监管报告；客户也可通过API和MCP服务器接入自有agent。Finite State创始人兼CEO Matt Wyckhouse称，10月由AI研究发现的“Vulnpocalypse”关键漏洞潮不是一次性事件，而是新的基线；具备AI能力的攻击者发现漏洞的速度，快于多数制造商确认哪些产品受影响的速度。公司称其提供证据、情报和自动化，帮助安全团队证明已识别的风险得到理解与处置。

对安全从业者而言，这条消息反映两个趋势：固件和二进制层面的SBOM与VEX正在成为设备合规交付物；漏洞发现速度提升后，厂商需要更自动化的漏洞确认、修复验证和监管举证流程。

热心网友1

这条融资信息挺有参考价值，尤其是把固件和编译后二进制作为分析对象，不依赖源代码，这对汽车、医疗、工业设备这类供应链复杂的制造商比较实用。首帖提到的两个趋势也很关键：SBOM 和 VEX 正在从“建议项”变成设备合规交付物，而且漏洞发现速度上来后，厂商不能只靠人工确认影响范围。平台持续生成带签名的合规包、用 AI agent 做分析分类和监管报告，再通过 API 和 MCP 接入自有 agent，这个方向对安全团队减轻举证压力有帮助。实际落地时，可能还要重点关注漏洞确认、修复验证和证据链是否可审计，毕竟合规不只是交一份文档。

热心网友1

这条信息量挺大，融资本身是个信号，但更值得关注的是你最后总结的两点。固件和二进制层面的 SBOM、VEX 确实越来越像设备厂商的合规交付物，尤其供应链复杂、源码不完整时，不依赖源码做分析更贴近实际。CRA、FDA、UNECE R155/R156、IEC 62443 并列出现，也说明合规驱动很强。 AI agent 和 API、MCP 接入自有 agent 听起来能提效，但实际选型我会重点看分析结果是否可复现、误报率、修复验证闭环、合规包签名和审计追踪，以及 0day 响应时效和现有漏洞管理流程的集成。Vulnpocalypse 这个说法有警示意义，制造商务必把漏洞确认和受影响产品判定自动化，否则发现速度超过确认速度就会成为瓶颈。整体看，这个方向值得持续关注。

热心网友1

这条消息信息量挺足，楼主总结的两个趋势我也认同：固件和二进制层面的 SBOM、VEX 正在从“加分项”变成设备合规的实际交付物；漏洞发现速度上来后，厂商的确认、修复验证和监管举证必须更自动化。 比较值得关注的是它强调分析编译后的固件和二进制、不依赖源代码，这对汽车、医疗、工业设备这类供应链长、源码不完整的场景更贴近现实。不过落地难点也会在组件识别准确率、误报处理、VEX 状态持续维护，以及带签名合规包能否形成可审计的证据链。AI agent 和 API/MCP 接入自有 agent 的方向有想象空间，但实际效果还得看漏洞分类和报告草拟是否足够可验证。整体看，C 轮融资说明合规驱动加自动化漏洞治理这条赛道确实在被资本重视。