Más de 10,000 agentes de inteligencia artificial operando en una sola red corporativa sin registro ni supervisión: ese fue el hallazgo de una empresa del Fortune 500 durante una prueba de concepto de gestión de identidades. El dato no es una anomalía aislada — es una señal del ritmo al que las organizaciones están incorporando agentes autónomos sin los controles de seguridad que aplican a cualquier otro acceso a sus sistemas.
Cada agente de IA opera con credenciales propias, accede a datos sensibles y ejecuta acciones dentro de la infraestructura corporativa. A diferencia de un empleado humano, no pasa por procesos de incorporación formal ni por revisiones periódicas de acceso. El resultado es una superficie de ataque que crece más rápido que los marcos de gobierno existentes. El uso de herramientas como Claude se ha incrementado más del 400% entre los clientes de firmas especializadas en ciberseguridad, lo que ilustra la velocidad de adopción frente a la lentitud de los controles.
Consolidación acelerada en el mercado de identidades
Desde enero, el sector ha registrado la adquisición de al menos nueve startups enfocadas en protección de identidades de agentes y máquinas. Los compradores incluyen a CrowdStrike, Cisco, 1Password, SailPoint y Cyera, cada uno abordando el problema desde ángulos distintos: seguridad de endpoints, gestión de contraseñas y gobierno de identidades.
La lógica detrás de estas operaciones no es la búsqueda de ingresos inmediatos. SailPoint desembolsó 200 millones de dólares por Entro, una empresa con menos de 3 millones en ingresos anuales recurrentes. Oasis Security levantó 120 millones con una valoración de 700 millones antes de ser adquirida en un período corto. En mercados emergentes con alta urgencia operativa, el múltiplo sobre ingresos deja de ser el indicador relevante — lo que se paga es la capacidad de resolver un problema crítico antes que la competencia.
Dos problemas, múltiples estrategias
Las adquisiciones se articulan en torno a dos desafíos concretos: el descubrimiento de identidades no registradas y el control granular de accesos. Empresas como Astrix y Entro se especializan en localizar agentes y máquinas dentro de redes corporativas. SGNL y Apono, en cambio, gestionan qué puede hacer cada identidad una vez identificada.
Esta distinción es operativamente relevante: no basta con saber que existen 10,000 agentes en la red si no se puede determinar a qué sistemas acceden, con qué privilegios y bajo qué condiciones. La gestión de identidades no humanas requiere una capa de gobierno equivalente a la que se aplica a usuarios humanos, pero adaptada a entidades que escalan de forma automática y operan de manera continua.
El patrón de consolidación sugiere que las grandes plataformas de ciberseguridad están apostando a que la identidad de agentes será una capacidad central, no un módulo opcional. Las organizaciones que aún no han auditado cuántos agentes de IA operan en sus redes — y con qué nivel de acceso — enfrentan una brecha de visibilidad que el mercado ya está valorando en cientos de millones de dólares.
