Okta ha comprado Permiso por unos 200 millones de dólares, casi todo en efectivo. Compra una empresa que había levantado 29 millones en toda su vida y que hace algo muy concreto: vigilar identidades que no son personas. Agentes de IA, sobre todo.
Puntos clave
- Precio aproximado de 200 millones de dólares, estructurado casi por completo en efectivo.
- Permiso detecta amenazas de identidad en entornos cloud y monitoriza agentes de IA y otras identidades no humanas.
- Su producto SandyClaw analiza el comportamiento malicioso de un agente antes de que se despliegue.
- El cierre se espera en el tercer trimestre del ejercicio fiscal 2027 de Okta.
Qué compra Okta exactamente
Permiso la fundaron Paul Nguyen y Jason Martin, dos antiguos ejecutivos de FireEye. El producto original vigilaba identidades humanas en la nube: quién entra dónde, con qué permisos y si ese patrón se sale de lo normal.
La parte que importa aquí es la extensión reciente. Permiso amplió la plataforma para cubrir identidades no humanas, la categoría donde caen los agentes de IA, los service accounts y las claves de API. Y sacó SandyClaw, una herramienta que analiza cómo se comporta un agente antes de dejarlo suelto en producción.
Esa es la pieza que Okta no tenía. Según su CPO, "Permiso extenderá el tejido de seguridad de identidad de Okta con capacidades probadas de detección y respuesta de amenazas de identidad".
Las cuentas de la operación
Permiso levantó 29 millones en total. La Serie A fueron 18,5 millones en abril de 2024, liderada por Altimeter Capital, con una valoración post-money de alrededor de 80 millones.
Vender por 200 millones significa multiplicar por 2,5 esa valoración en poco más de dos años. Para los fundadores es una salida buena. Para el mercado dice algo más interesante: Okta ha pagado una prima notable por una capacidad que hace dos años no existía como categoría.
Por qué las identidades no humanas se han vuelto el problema
Durante veinte años, la gestión de identidad consistió en controlar personas. Un empleado entra, un empleado sale, un empleado tiene estos permisos.
Un agente de IA rompe ese modelo por tres sitios. No tiene horario, así que no hay patrón de actividad normal contra el que comparar. Puede encadenar acciones a una velocidad que ningún humano alcanza, así que cuando se detecta la anomalía ya ha hecho 400 cosas. Y sus permisos suelen ser prestados: hereda los de quien lo lanzó, que casi siempre son más de los que necesita.
Ese es el hueco por el que se coló el agente que entró en Hugging Face y el que hizo que los propios modelos de Anthropic acabaran tocando sistemas reales durante evaluaciones. En los dos casos, la máquina tenía credenciales legítimas.
Por qué importa
Si en tu empresa hay algo automatizado ejecutándose contra vuestros sistemas (un flujo de n8n, un script con la API de Odoo, un agente que revisa el correo), ese proceso tiene una identidad. Y lo más probable es que nadie la esté auditando como se audita la de un empleado.
Tres preguntas que se responden en una tarde y valen más que cualquier producto que puedas comprar:
- ¿Qué permisos exactos tiene cada automatización? No los que necesita, los que le disteis.
- ¿Quién revisa lo que hace, y cada cuánto?
- ¿Qué pasa si esas credenciales se filtran? ¿Se revocan en cinco minutos o hay que buscar en qué scripts estaban metidas?
Okta acaba de pagar 200 millones por resolver esto para grandes empresas. En una empresa de 20 personas, la primera versión del control cabe en una hoja de cálculo con las credenciales, el alcance y el responsable de cada una. Empezar por ahí es gratis.
Relacionado
