Binarly | AI-Powered Firmware Supply Chain Security Platform

Binarly ejecuta análisis estático y ejecución simbólica sobre artefactos compilados, con un motor de desempaquetado de caja negra que reconoce archivos, cargas comprimidas, envoltorios propios de cada fabricante y sistemas de archivos poco comunes. Así un equipo puede revisar la imagen de firmware de un proveedor que solo comparte el binario. El efecto práctico es que entra en el radar el código que los escáneres basados en fuentes nunca ven, incluidos microcódigo, cargadores de arranque y bibliotecas de terceros enlazadas de forma estática.

La plataforma busca vulnerabilidades que todavía no tienen CVE en lugar de limitarse a comparar cadenas de versión. Cubre firmware UEFI, controladores de gestión de placa base, imágenes RTOS, Linux embebido, particiones de Android, contenedores en la nube e instantáneas de máquinas virtuales. Los modelos de aprendizaje automático entrenados con grandes corpus de binarios ayudan a marcar patrones sospechosos, y los investigadores revisan lo que esos modelos señalan.

Cualquier imagen distribuida puede llevar credenciales que nunca debieron salir del servidor de compilación. Binarly busca claves de API codificadas, tokens OAuth, JWT, URL de webhook y claves privadas dentro de firmware, particiones móviles, contenedores e instantáneas. Los hallazgos indican el archivo y el desplazamiento exactos, así que la persona que programa confirma y rota el secreto sin peinar un repositorio a mano.

El análisis de alcanzabilidad vincula una vulnerabilidad reportada con rutas de ejecución reales del binario. Si una función defectuosa no se puede alcanzar desde ningún punto de entrada de tu configuración, baja en la lista. Esta es la función que cambia el día a día de la mayoría de los equipos, porque una pila de cientos de CVE se convierte en una lista corta de cosas que de verdad pueden golpear en producción.

Binarly arma un inventario criptográfico de materiales a partir del propio binario, con cada algoritmo, clave, certificado y protocolo que logra identificar. Las claves débiles, los certificados caducados, los saltos de Secure Boot y la criptografía obsoleta quedan marcados, y los paneles siguen el avance de la migración. Así la preparación para criptografía poscuántica se vuelve un proyecto medible y no una diapositiva, y el resultado sirve además como evidencia de auditoría.

La puntuación de madurez de explotación combina las entradas del catálogo KEV de CISA, la telemetría de explotación activa, la disponibilidad de pruebas de concepto y los datos de campañas de ransomware en un ranking vivo. El valor se actualiza cuando cambia el panorama de amenazas, de modo que la decisión de parchear un lunes no depende de las calificaciones de gravedad del trimestre anterior.

La plataforma se conecta a la tubería de compilación y revisa cada artefacto antes de la publicación. Los builds que incumplen la política, sea por un fallo crítico alcanzable, un secreto filtrado o una mitigación ausente, se detienen en la puerta. Los avisos automáticos y los documentos VEX a demanda salen del mismo flujo, lo que ahorra el trámite posterior al hallazgo.