Okta dokončila kúpu Permiso a rozširuje ochranu identít o správanie AI agentov

Akvizícia už nie je iba plán

Okta 30. júla 2026 oznámila definitívnu dohodu o kúpe spoločnosti Permiso Security a 26. augusta doplnila, že transakciu uzavrela. To je podstatná aktualizácia oproti pôvodnému oznámeniu, ktoré ešte hovorilo o budúcej akvizícii podliehajúcej obvyklým podmienkam. Permiso už na svojej stránke vystupuje ako súčasť Okta. Finančný rozsah transakcie z verejných podkladov nepoznáme a uzavretie obchodu zároveň neznamená, že sú všetky opisované funkcie okamžite integrované a dostupné každému zákazníkovi.

Jadrom obchodu je rozšírenie správy identity za okamih prihlásenia. Bežný systém identity vie rozhodnúť, či používateľ, aplikácia alebo služba smie získať prístup. Ťažšie však sleduje celý reťazec ďalších krokov: ktoré poverenie proces použil, aký nástroj zavolal, kam odoslal údaje a či vytvoril ďalšiu strojovú alebo agentickú identitu. Okta chce technológiou Permiso spojiť autentifikačné signály s behaviorálnou analýzou a reakciou na hrozby počas behu procesu.

Okta uvádza, že Permiso pracuje s viac než 2 500 výskumne odvodenými signálmi naprieč vyše 70 partnermi a integráciami v oblasti identity. Majú pokrývať napríklad nadmerné oprávnenia, nepoužívané prístupy, neobvyklé používanie nástrojov, porušenia politík či správanie s veľkým možným dosahom. Ide však o údaje a opis dodávateľa, nie o výsledok nezávislého porovnávacieho testu. Verejné zdroje zatiaľ neukazujú mieru falošných poplachov, pokrytie jednotlivých platforiem ani úspešnosť automatického zastavenia incidentov.

Prečo agent po prihlásení zostáva rizikom

AI agent sa od klasického servisného účtu líši tým, že si podľa zadania volí postup, kombinuje nástroje a môže delegovať prácu ďalším agentom. Počas jednej úlohy môže použiť oprávnenie človeka, krátkodobý cloudový token, rozhranie SaaS aplikácie aj server využívajúci Model Context Protocol. Platné poverenie preto dokazuje iba povolenie vstupu; nepotvrdzuje, že každá nasledujúca akcia zodpovedá pôvodnému účelu alebo bezpečnostnej politike.

Permiso tento problém označuje ako slepé miesto po autentifikácii. Jeho Universal Identity Graph má prepájať ľudí, strojové účty a agentov s povereniami, vytvorenými prostriedkami a vykonanými akciami. Produktové podklady opisujú zachovanie súvislej stopy od pôvodnej identity cez beh agenta až po volania nástrojov, MCP, databáz či nadväzujúcich API. Pre bezpečnostné operačné centrum môže byť takáto atribúcia dôležitejšia než izolovaný záznam o tom, že technicky platný účet vykonal jednu podozrivú operáciu.

Súčasťou získanej technológie je SandyClaw, izolované prostredie určené na dynamické preverovanie zručností a promptov agentov. Namiesto kontroly samotného textu alebo balíka má komponent spustiť v kontrolovanom prostredí a zaznamenať jeho správanie. Cieľom je zachytiť pokusy o nečakané volanie nástrojov, prístup k tajomstvám alebo komunikáciu s externými systémami skôr, než sa zručnosť dostane do produkcie. Aj tu ide zatiaľ najmä o tvrdenia výrobcu; chýbajú verejné nezávislé merania pokrytia a odolnosti voči obchádzaniu.

Okta sľubuje aj vyšetrovanie a obmedzenie kompromitovaných alebo nesprávne nakonfigurovaných agentov v reálnom čase. Praktická hodnota bude závisieť od toho, či platforma rozlíši legitímny neštandardný krok od útoku. Agent môže pri rovnakej úlohe zvoliť rôzne cesty, takže jednoduchá odchýlka od historického priemeru ešte nemusí byť škodlivá. Príliš citlivé pravidlá môžu zastavovať pracovné procesy, kým príliš voľné nastavenie ponechá nebezpečné správanie bez zásahu.

Čo z toho vyplýva pre slovenské a európske organizácie

Pre slovenské firmy nie je hlavnou správou samotná zmena vlastníka, ale postupné spájanie správy prístupov, cloudovej telemetrie a agentickej bezpečnosti. Organizácia, ktorá nasadzuje agentov do účtovníctva, vývoja, zákazníckej podpory alebo internej analytiky, potrebuje vedieť nielen to, kto agenta spustil, ale aj ktoré dáta čítal a ktoré systémy zmenil. Toto je dôležité najmä pri pracovných postupoch prechádzajúcich medzi americkými cloudmi, európskymi dátovými priestormi a lokálnou infraštruktúrou.

Európsky AI Act používa rizikový prístup a pri vysokorizikových systémoch vyžaduje okrem iného riadenie rizík, zaznamenávanie činnosti, sledovateľnosť, ľudský dohľad, kybernetickú bezpečnosť a primeranú dokumentáciu. Podľa aktuálneho prehľadu Európskej komisie sa pravidlá pre vybrané vysokorizikové oblasti majú uplatňovať od decembra 2027 a pre systémy vložené do regulovaných produktov od augusta 2028. Nástroj na atribúciu agentických akcií môže podporiť technické dokazovanie týchto kontrol, sám osebe však nepreukazuje súlad s AI Actom ani s pravidlami ochrany údajov.

Užitočný širší rámec poskytuje aj NIST AI Risk Management Framework. Je dobrovoľný a nenahrádza európske právo, no zdôrazňuje priebežné mapovanie, meranie, riadenie a správu rizík počas životného cyklu AI. Z tohto pohľadu nestačí kúpiť detekčný produkt. Organizácia musí určiť vlastníka každého agenta, prípustný účel, hranice oprávnení, spôsob eskalácie, podmienky automatického zastavenia a postup obnovy po nesprávnom zásahu.

Kontroly, ktoré netreba odkladať

Bezpečnostné tímy môžu konať ešte pred dokončením produktovej integrácie Okta a Permiso. Prvým krokom je inventár agentov, servisných účtov, tokenov, MCP serverov a externých nástrojov vrátane osoby zodpovednej za ich prevádzku. Nasledovať má obmedzenie oprávnení na minimum, krátka platnosť poverení, oddelenie testovacieho a produkčného prostredia a zákaz zdieľania jedného účtu viacerými autonómnymi procesmi. Každé citlivé volanie by malo niesť identifikátor pôvodného používateľa, agenta a konkrétneho behu.

Pri hodnotení budúcej ponuky Okta by zákazníci mali požadovať presný zoznam podporovaných cloudov, SaaS služieb, agentických rámcov a zdrojov telemetrie. Dôležité budú retenčné lehoty, miesto spracovania bezpečnostných záznamov, možnosti exportu, väzba na existujúci SIEM a spôsob odvolania automatického zásahu. Overiť treba aj to, či platforma vie sledovať delegovanú identitu naprieč viacerými agentmi, alebo iba koreluje udalosti podľa času a účtu.

Uzavretá akvizícia potvrdzuje, že ochrana identity sa presúva od jednorazového overenia k nepretržitému vyhodnocovaniu konania. Permiso prináša Okta technológiu a výskumný tím orientovaný na správanie po prihlásení, agentické identity a dynamické testovanie zručností. Otvorené však zostávajú cena, harmonogram úplnej integrácie, dostupnosť v jednotlivých produktoch, dátová rezidencia aj nezávisle meraná účinnosť. O úspechu preto nerozhodne počet deklarovaných signálov, ale schopnosť vytvoriť spoľahlivú auditnú stopu a zastaviť skutočné riziko bez neprimeraného narušenia prevádzky.