Finite State, een bedrijf dat zich richt op productbeveiliging voor apparaten in de echte wereld, heeft 27 miljoen dollar opgehaald in een Series C-ronde. De investering wordt ingezet om de internationale groei te versnellen en om het platform voor connected device security autonomer te maken.
De aanleiding ligt volgens het bedrijf in twee ontwikkelingen: een toename van kritieke kwetsbaarheden die sneller aan het licht komen dankzij AI-onderzoek, én een groeiend aantal verplichtingen rond productbeveiliging. Voor fabrikanten betekent dat: niet alleen technische risico’s vinden, maar ook aantonen dat ze begrepen én opgelost worden.
Waarom fabrikanten nu extra druk voelen
Finite State beschrijft dat fabrikanten te maken krijgen met een golf aan ernstige kwetsbaarheden. Daarbij wordt verwezen naar een periode die in de markt bekendstaat als de “Vulnpocalypse”, waarbij AI-onderzoek volgens het bedrijf opvallend snel zwakke plekken blootlegt.
Daarnaast verschuift de focus van alleen ontwikkeling naar aantoonbare compliance. Steeds meer regelgeving vraagt om een gestructureerde manier om security-informatie te produceren, risico’s te beoordelen en bewijs te leveren richting toezichthouders en klanten.
Platform inspecteert software én firmware
Een kernpunt in de aanpak van Finite State is dat het platform de beveiliging beoordeelt van wat er daadwerkelijk in het apparaat belandt. Het gaat dus niet uitsluitend om broncode tijdens ontwikkeling, maar om de artefacten die worden meegeleverd.
Het platform werkt vanuit gecompileerde firmware en binaries, waardoor fabrikanten geen source code nodig hebben om analyse uit te voeren. Daarmee sluit de werkwijze aan op realistische supply-chain situaties, waarin code soms versnipperd is of niet volledig beschikbaar is voor downstream partijen.
Van kwetsbaarheid naar fix: ook zero-days
Volgens Finite State kan het platform zowel bekende kwetsbaarheden detecteren als zero-day issues. Daarna ondersteunt het fabrikanten bij het oplossen van de problemen die kunnen worden misbruikt.
Dat is belangrijk, omdat het niet genoeg is om een lijst met risico’s te verzamelen. Fabrikanten hebben behoefte aan een proces dat helpt om snel te bepalen welke producten geraakt zijn en wat er concreet moet gebeuren.
Compliance als doorlopend proces
Naast technische analyse zet Finite State sterk in op documentatie en bewijsvoering. Het platform produceert continu documentatie zoals SBOM’s, VEX-documenten en ondertekende compliance pakketten.
Dat helpt makers om te voldoen aan eisen uit verschillende kaders, waaronder de EU Cyber Resilience Act (CRA). Het bedrijf noemt ook Amerikaanse en internationale referenties zoals de FDA premarket cybersecurity requirements, en daarnaast voertuigregels UNECE R155 en UNECE R156. Voor industriële omgevingen wordt tevens de IEC 62443 genoemd.
Waar veel organisaties worstelen met verspreide informatie, wil Finite State het verzamelen en structureren van security-bewijs meer automatisch maken. Zo ontstaat er doorlopend materiaal dat security- en compliance-teams kunnen gebruiken.
AI-agents voor analyse, triage en rapportage
Finite State stelt dat AI-agents binnen het platform rollen uitvoeren zoals analyse, triage en testen. Op basis daarvan worden ook rapportages richting regelgeving opgesteld.
De ambitie gaat verder dan “advies geven”: klanten kunnen volgens het bedrijf eigen agents koppelen via een API en via een MCP-server. Daardoor kunnen organisaties hun eigen werkwijze integreren in het bredere proces van productbeveiliging en compliance.
Het bedrijf ziet dit als een antwoord op de realiteit dat dreigingsactoren sneller kwetsbaarheden kunnen vinden dan veel fabrikanten tijd hebben om te bepalen in welke producten het probleem daadwerkelijk zit.
Wat betekent dit voor de industrie?
De boodschap die Finite State meegeeft is helder: security is niet langer een eenmalige activiteit, maar een doorlopend baseline-proces. Als kwetsbaarheden sneller boven water komen en regels strenger worden, hebben fabrikanten een systeem nodig dat zowel technisch als organisatorisch meebeweegt.
Met connected device security bedoelt Finite State dus niet alleen detectie, maar ook het kunnen onderbouwen van beslissingen. Het gaat om bewijs, tempo en consistentie—zodat risico’s niet alleen worden gezien, maar ook worden gevolgd tot en met mitigatie.
Praktische link met supply-chain aanpakken
Wie productbeveiliging serieus neemt, komt automatisch uit bij supply-chain documenten en transparantie. Het helpt om te begrijpen hoe SBOM en gerelateerde informatie worden gebruikt om risico’s te duiden. In dat kader kan ook deze achtergrond nuttig zijn: Software transparency: SBOM, AI BOMs en VEX uitgelegd.
Nieuwe investeringsronde: groei en meer autonomie
De financieringsronde werd geleid door private funds die worden beheerd door The O.H.I.O. Fund. Daarnaast namen onder meer CIBC Innovation Banking, Energy Impact Partners, Energize Capital en National Grid Partners deel.
Finite State koppelt de investering aan twee doelen: het uitbreiden van de internationale aanwezigheid en het verder ontwikkelen van de autonomie van het platform. Met andere woorden: meer taken zoveel mogelijk zelfstandig laten uitvoeren, zodat teams minder handwerk hoeven te doen en sneller kunnen reageren op nieuwe bevindingen.
Gerelateerd: AI-agenten en hun impact op beveiliging
De ontwikkeling van AI in security leidt tot nieuwe kansen, maar roept ook vragen op over veiligheid en controle. Als je wilt begrijpen hoe AI-agenten in de praktijk kunnen worden ingezet—en waar risico’s kunnen ontstaan—lees dan ook: Agent in browser: zo breek je je AI-regels open.
Hoewel dat artikel een andere insteek heeft, raakt het wel aan dezelfde kern: hoe je autonomie en analyses betrouwbaar houdt.
Conclusie
Met de 27 miljoen die Finite State ophaalde, zet het bedrijf een flinke stap richting schaalbaarheid van connected device security. Het platform controleert wat er echt wordt uitgeleverd—software én firmware—en ondersteunt daarnaast compliance via SBOM-, VEX- en ondertekende pakketten.
Voor fabrikanten betekent dit vooral één ding: sneller en beter kunnen aantonen welke risico’s er zijn, welke impact dat heeft en hoe die risico’s worden aangepakt. In een wereld waarin kwetsbaarheden sneller worden gevonden en regelgeving steeds concreter wordt, kan zo’n gecombineerde aanpak een belangrijk verschil maken.
