Binarly | AI-Powered Firmware Supply Chain Security Platform

O Binarly roda análise estática e execução simbólica em artefatos compilados, com um motor de descompactação de caixa-preta que reconhece arquivos, cargas comprimidas, wrappers de cada fabricante e sistemas de arquivos pouco comuns. Assim o time inspeciona a imagem de firmware de um fornecedor que só entrega o binário. Na prática, entra no radar o código que scanners baseados em fonte nunca enxergam, incluindo microcódigo, carregadores de boot e bibliotecas de terceiros ligadas de forma estática.

A plataforma procura vulnerabilidades que ainda não têm CVE em vez de apenas comparar strings de versão. Cobre firmware UEFI, controladores de gerenciamento de placa, imagens RTOS, Linux embarcado, partições Android, contêineres de nuvem e snapshots de máquina virtual. Modelos de aprendizado de máquina treinados em grandes corpora de binários ajudam a marcar padrões suspeitos, e os pesquisadores revisam o que os modelos apontam.

Toda imagem distribuída pode carregar credenciais que nunca deveriam sair do servidor de build. O Binarly procura chaves de API fixas no código, tokens OAuth, JWTs, URLs de webhook e chaves privadas dentro de firmware, partições móveis, contêineres e snapshots. Os achados indicam o arquivo e o deslocamento exatos, então quem programa confirma e troca o segredo sem varrer um repositório na mão.

A análise de alcançabilidade liga uma vulnerabilidade reportada a caminhos de execução reais no binário. Se uma função com defeito não pode ser alcançada a partir de nenhum ponto de entrada da sua configuração, ela cai na lista. Esse é o recurso que muda o dia a dia da maioria dos times, porque uma pilha de centenas de CVEs vira uma lista curta de coisas que de fato podem ser atingidas em produção.

O Binarly monta um inventário criptográfico a partir do próprio binário, com cada algoritmo, chave, certificado e protocolo que consegue identificar. Chaves fracas, certificados vencidos, desvios de Secure Boot e criptografia obsoleta ficam marcados, e os painéis acompanham o avanço da migração. Com isso, a preparação para criptografia pós-quântica vira um projeto mensurável em vez de um slide, e o resultado ainda serve como evidência de auditoria.

A pontuação de maturidade de exploração reúne entradas do catálogo KEV da CISA, telemetria de exploração ativa, disponibilidade de prova de conceito e dados de campanhas de ransomware em um ranking vivo. O valor muda conforme o cenário de ameaça muda, então a decisão de corrigir na segunda-feira não depende das notas de gravidade do trimestre anterior.

A plataforma se conecta ao pipeline de build e confere cada artefato antes da distribuição. Builds que quebram a política, seja por falha crítica alcançável, segredo vazado ou mitigação ausente, param no portão. Avisos automáticos e documentos VEX sob demanda saem do mesmo fluxo, o que economiza a papelada depois do achado.