Players Okta compra Permiso: la seguridad de identidades no humanas ya no es opcional
El gigante de la gestión de identidades adquiere Permiso Security para proteger agentes de IA. En un entorno donde las identidades no humanas superan 50 a 1 a las humanas, la operación señala el nuevo frente de la ciberseguridad empresarial.
Okta firmó la adquisición de Permiso Security, una startup especializada en detección de amenazas para identidades no humanas, por un valor cercano a los 200 millones de dólares en efectivo, según una fuente cercana a la operación citada por TechCrunch. La compañía de gestión de identidades no reveló el monto oficial, pero el precio representa más del doble de la valuación póst-money de Permiso tras su Serie A en 2024 —unos 80 millones— y evidencia la urgencia con la que los grandes proveedores de IAM están reaccionando a la proliferación de bots, scripts automatizados y, sobre todo, agentes de inteligencia artificial.
Permiso fue fundada por Paul Nguyen y Jason Martin, ambos exejecutivos de FireEye, y desde su salida del sigilo en 2022 se enfocó en detectar actividad sospechosa en entornos cloud una vez que el acceso ya ha sido concedido. En abril de 2026 presentó SandyClaw, una plataforma que analiza las habilidades de los agentes de IA en un entorno aislado (sandbox) para identificar comportamientos maliciosos antes de su despliegue. Esa capacidad es exactamente lo que Okta necesita para extender su tejido de seguridad de identidad más allá de la autenticación inicial, hacia la supervisión continua de lo que hacen los agentes autónomos una vez que tienen credenciales válidas.
La explosión de las identidades no humanas
El movimiento de Okta no es aislado. Un artículo reciente de ComputerWorld señala que las identidades no humanas (NHI) —cuentas de servicio, claves API, tokens OAuth, certificados y secretos— superan en número a las identidades humanas en una proporción de hasta 50 a 1. Por cada mil usuarios humanos, una organización típica maneja diez mil conexiones no humanas. Y el problema se agrava: solo el 2% de los permisos concedidos a esas identidades se utilizan realmente, lo que genera un enorme exceso de privilegios que los atacantes explotan.
Los vectores de ataque ya están documentados. El incidente de Dropbox Sign en 2024, donde un actor comprometió una cuenta de servicio interna, y el ataque a Microsoft que aprovechó aplicaciones OAuth para moverse lateralmente, muestran que las NHI son el nuevo punto ciego de la seguridad corporativa. La investigación académica presentada en la IEEE 5th International Conference on AI in Cybersecurity (ICAIC 2026) confirma la tendencia: modelos híbridos CNN-BiLSTM y GRU alcanzan apenas un 81% de precisión en la detección de amenazas no humanas, lo que indica que incluso con técnicas avanzadas de deep learning, la tarea sigue siendo compleja.
El benchmark que mide a los agentes que protegen a otros agentes
Un trabajo reciente de Sola Security, publicado en arXiv, propone el primer benchmark estandarizado para evaluar sistemas de IA agentiva en tareas de Identity Security Posture Management (ISPM). Sobre 77 preguntas que abarcan inventario de identidades, higiene de configuración y detección de errores en entornos AWS, Okta y Google Workspace, su agente Sola AI alcanzó una precisión experta de 0.84 y una tasa de éxito estricta de 0.77. El estudio subraya que la visibilidad completa del inventario de identidades sigue siendo la tarea fundacional más difícil, y que ningún agente actual logra un desempeño perfecto. Esto refuerza la necesidad de herramientas como las que aporta Permiso, que operan precisamente en esa capa de detección y respuesta.
¿Qué significa para América Latina?
Para las empresas latinoamericanas, la adquisición de Permiso tiene implicaciones concretas. La región está adoptando cloud y SaaS a un ritmo acelerado, pero la madurez en gobierno de identidades suele ser menor que en mercados desarrollados. Muchas organizaciones saltan directamente a arquitecturas nativas de la nube sin pasar por una fase de consolidación de IAM, lo que multiplica el número de identidades no humanas no gestionadas. Okta, que ya tiene presencia en México y Brasil, podrá ofrecer ahora una capa de detección de amenazas para agentes de IA que antes requería integrar a un proveedor externo. Para un CISO en São Paulo o Bogotá, la pregunta ya no es si desplegarán agentes de IA, sino cuándo empezarán a auditar los permisos de esos agentes.
El costo de no hacerlo es cada vez más alto. Los reguladores de protección de datos en la región —desde la LGPD brasileña hasta la Ley de Protección de Datos Personales en Chile— están endureciendo las exigencias de trazabilidad y control de acceso. Una identidad no humana mal configurada puede ser el eslabón que convierta un incidente de seguridad en una multa millonaria.
Okta ha puesto el precio sobre la mesa: 200 millones de dólares por una startup que apenas había recaudado 29 millones. Esa valoración no refleja solo la tecnología de Permiso, sino la convicción de que el mercado de seguridad para identidades no humanas va a crecer tanto como creció el de autenticación multifactor en la década pasada. Para las empresas latinoamericanas, el mensaje es claro: si todavía no tienen un inventario de sus cuentas de servicio, claves API y tokens OAuth, el reloj ya está corriendo.
