Okta ha firmado la compra de Permiso Security, una empresa especializada en detectar el abuso de identidades dentro de servicios en la nube y aplicaciones empresariales. El precio no se ha comunicado oficialmente, aunque distintas estimaciones lo sitúan alrededor de 200 millones de dólares. La operación amplía el negocio tradicional de acceso de empleados hacia un terreno que crece con rapidez: las credenciales utilizadas por programas, automatizaciones y agentes de inteligencia artificial.
El usuario ya no siempre es una persona
Una empresa moderna utiliza cuentas de servicio, claves de API, certificados y tokens para conectar aplicaciones. Los agentes de IA añaden muchas más identidades capaces de leer documentos, consultar bases de datos y ejecutar acciones. A menudo funcionan durante todo el día y reciben permisos amplios para evitar interrupciones. Si un atacante roba una de esas credenciales, puede actuar como un proceso legítimo y pasar desapercibido.
Okta es conocida por centralizar el inicio de sesión, la autenticación multifactor y el acceso de trabajadores. Permiso observa qué hacen las identidades una vez dentro de nubes y servicios de software. La combinación permite relacionar quién o qué inició una sesión con el comportamiento posterior. Una conexión válida que descarga miles de archivos o crea nuevas claves puede ser tan peligrosa como un intento de acceso bloqueado.
La seguridad de agentes necesita contexto. Un modelo puede encadenar acciones diferentes en cada tarea, por lo que una regla estática genera demasiadas alertas. El sistema debe conocer qué recursos necesita normalmente, quién lo creó, qué herramienta invocó y si existe una solicitud humana asociada. Esa trazabilidad ayuda a distinguir autonomía legítima de una credencial secuestrada.
Por qué las identidades están en el centro
Las redes corporativas ya no tienen un perímetro único. Empleados, proveedores y aplicaciones acceden desde internet a decenas de servicios. Robar una contraseña o un token suele ser más eficaz que explotar un servidor. Por eso el modelo de confianza cero exige verificar cada acceso, limitar privilegios y revisar continuamente señales de riesgo.
Los agentes agravan un problema conocido: credenciales que nunca caducan y permisos concedidos “temporalmente” que se vuelven permanentes. Cada uno debería tener identidad propia, secretos rotatorios y un alcance mínimo. Compartir la cuenta de un empleado impide saber qué acción realizó la persona y cuál el software, además de mantener abierto el acceso cuando cambia el equipo responsable.
Qué cambia para los clientes
La adquisición puede integrar alertas y políticas en una plataforma única, reduciendo el trabajo de correlacionar herramientas. También crea dependencia de un proveedor que controla más capas de seguridad. Las empresas deben conservar registros exportables, interfaces abiertas y procedimientos para operar si el servicio central falla. Concentrar la defensa simplifica la gestión, pero amplía el impacto de una configuración incorrecta.
La integración técnica llevará tiempo. Hasta que los productos compartan inventario y políticas, los clientes tendrán que vigilar duplicidades y huecos entre consolas. Una migración gradual, con pruebas sobre cuentas de bajo riesgo, resulta más segura que sustituir de golpe los controles que ya funcionan.
Las organizaciones que desplieguen agentes deberían incorporar identidades no humanas a sus revisiones de acceso. No basta con preguntar qué empleados son administradores. Hay que localizar tokens, automatizaciones, cuentas de prueba y conexiones entre servicios. Un inventario con propietario y fecha de caducidad evita que proyectos abandonados mantengan puertas abiertas.
Okta compra tecnología y también una posición en un mercado nuevo. Cuando los agentes pasen de recomendar a ejecutar, la identidad será el mecanismo que permita autorizar, detener y atribuir cada acción. La promesa de una IA útil depende de concederle acceso; la seguridad consiste en que ese acceso sea temporal, observable y revocable. Permiso aporta precisamente esa capa de vigilancia que los directorios tradicionales no fueron diseñados para cubrir.
