何が起きたか
OktaはPermiso Securityの買収に合意しました。金額は非開示ですが、TechCrunchが取材した関係者は2億ドル弱、ほぼ全額現金の取引だと述べています。OktaのCEOであるTodd McKinnon氏へのコメント要請に対し、同社広報はこの2億ドルという数字を否定しませんでした。クロージングは2027会計年度第3四半期の見込みで、通常の前提条件が付きます。
Permisoは2022年にステルスを脱した企業で、共同創業者はFireEye出身のPaul Nguyen氏とJason Martin氏。クラウド環境で「アクセスを与えたあと」の不審な挙動を検知するソフトウェアを開発し、盗まれたID情報を使ってクラウド基盤内を横移動する攻撃の検出を得意としてきました。近年はAIエージェントを含むマシンIDの監視に領域を広げ、4月にはAIエージェントのスキルをサンドボックス上で解析し、導入前に悪意ある挙動を見つけるプラットフォーム「SandyClaw」を発表しています。調達総額は約2900万ドル、うち2024年4月のシリーズA1850万ドルはAltimeter Capitalがリードしました。
なぜ重要か：認証の勝負どころが「入口」から「行動」へ
この買収の本質は、ID管理業界の主戦場が移動しているという事実です。従来のIDaaSはログイン時に「あなたは誰か」を確かめることが商品でした。しかし今、各社が競っているのは、認証を通過したユーザー・アプリ・AIエージェントがその後に何をしているかを継続的に監視する領域です。Oktaの最高製品責任者Ely Kahn氏は、Permisoが「実証済みのアイデンティティ脅威検知・対応（ITDR）能力と、優れた脅威リサーチ・セキュリティチームによって、Oktaのアイデンティティセキュリティファブリックを拡張する」と表明しています。買収対象が「認証製品」ではなく「検知製品」である点に、この移動が表れています。
点を線でつなぐ：エージェント配備が生む新しい攻撃面
なぜ今なのか。企業が自律的に動くソフトウェアを業務に埋め込むほど、認証情報を持った非人間の主体が社内に増えます。人間の従業員は数千人でも、エージェントやサービスアカウントは容易に桁が変わります。しかも彼らは24時間稼働し、離職せず、権限の棚卸しからも漏れやすい。SandyClawが「導入前にスキルを解析する」というアプローチを取っているのは示唆的で、エージェントの危険性はアカウントの乗っ取りだけでなく、与えられた道具そのものに埋め込まれうるからです。
約8000万ドルの評価額から2年足らずで2億ドル弱へ——この価格は、Oktaが技術より「時間」を買ったと読むのが自然です。マシンID防御は自社開発を待てる領域ではない、という判断が価格に織り込まれています。
💼 事業会社視点：これは自社にどう効くか
日本企業の役員にとって、この買収は「AI導入の稟議書に、これまで無かった行が増える」という予告です。
まずSaaS事業者。自社プロダクトにAIエージェント機能を載せた瞬間、顧客のセキュリティ部門から「そのエージェントはどの権限で、何をログに残すのか」を問われます。OktaがITDRを取り込んだということは、大企業の調達チェックリストにこの項目が載る日が近いという意味です。認証連携（SSO対応）だけで通っていた審査は、行動ログの提供可否まで広がります。今から監査ログの設計に着手すべきです。
EC・小売では、在庫や価格、問い合わせ対応をエージェントに任せる動きが進みます。ここでの現実的なリスクは派手な侵入ではなく、正規の権限を持ったエージェントが誤った範囲まで実行してしまうことです。人間の管理職に与える承認権限と同じ粒度で、エージェントの権限設計と停止手順を決めておく必要があります。
受託開発・SIerには商機です。顧客企業のサービスアカウントとAPIキーの棚卸しは、多くの現場で放置されています。「非人間IDの可視化」は、AI導入プロジェクトの前段工程として単独で売れるテーマになります。
経営判断としての要点は一つ。AIエージェント導入の投資対効果を議論する会議に、ID・権限管理の担当者を最初から同席させることです。後付けの統制は、常に高くつきます。
