データセキュリティ大手のCyeraは、AIエージェントなど非人間の認証情報を保護するOasis Securityを、約10億ドルで買収すると発表しました。企業のAI活用が広がるなか、人間ではなくソフトウェアが持つ認証情報を狙った侵害リスクへの対応が急務になっています。Cyeraにとって今年3件目の買収で、評価額120億ドルの同社が守備範囲を一段と広げる動きです。
背景と文脈
企業システムには、人間の従業員だけでなく、サービスアカウントやAPIキー、そしてAIエージェントといった非人間アイデンティティ(NHI: Non-Human Identity)と呼ばれる認証情報が数多く存在します。近年、企業が業務にAIエージェントを組み込む動きが加速するにつれ、これらのNHIの数は爆発的に増えてきました。
しかし、人間のアカウントに比べてNHIは管理が行き届きにくく、パスワードやAPIキーが使い回されたり、不要になった後も権限が残り続けたりするケースが少なくありません。攻撃者にとっては、監視の目が届きにくいNHIを乗っ取ることで、社内システムに静かに侵入する経路になり得ます。とりわけAIエージェントは、複数の社内システムに横断的にアクセスできる権限を与えられがちで、一つのエージェントが乗っ取られると被害範囲が一気に広がりかねません。Oasis Securityは2022年の設立以来、まさにこのNHI保護に特化して事業を展開してきた企業です。
この種のNHI保護サービスは一般に、社内に存在するサービスアカウントやAPIキー、AIエージェントの認証情報を棚卸しして可視化し、通常とは異なるアクセスパターンを検知したり、使われなくなった認証情報を自動的に失効させたりする機能を提供します。人間のアカウント管理で当たり前になっている仕組みを、数が桁違いに多く動きも速いNHIの世界に持ち込む取り組みと言えます。
技術/ビジネス面
買収額は約10億ドルで、大部分を現金、残りをCyera株式で支払う契約になっています。Oasis Securityはこれまでにアクセル(Accel)やCraft Venturesなどから約1億9500万ドルを調達してきました。Cyeraにとっては、RyftやGenie Securityに続く今年3件目の買収となります。1年のうちに3社を立て続けに買収するペースからは、データセキュリティ企業が単独の製品ではなく、周辺領域を含めた総合プラットフォームを急いで組み上げようとしている様子がうかがえます。
Cyera自身は設立5年のスタートアップで、これまでに23億ドルの資金を調達し、評価額は120億ドルに達しています。直近では6億ドルの資金調達も実施したばかりで、潤沢な手元資金を買収に振り向けている構図です。年間経常収益(ARR: Annual Recurring Revenue、SaaS企業の年間の安定収益を示す指標)は1億5000万ドルを超えたものの、依然として黒字化には至っていません。買収後は、OasisのNHI保護技術とCyera自身のデータセキュリティ技術を統合し、単一のアイデンティティ・データセキュリティ基盤として提供していく計画です。
これからどうなるか
AIエージェントが企業の業務システムに深く組み込まれるほど、エージェントがどのデータにアクセスし、どんな操作を実行したかを追跡・制御する仕組みの重要性は増していきます。開発者の立場でも、自作のAIエージェントにAPIキーや権限をどう割り当て、いつ失効させるかという設計は、機能を作り込む以上に運用上の課題になりやすい部分です。個人開発の小さなプロジェクトであっても、エージェントに渡すAPIキーの権限を必要最小限に絞る、使い終わったキーは即座に無効化する、といった基本を怠ると同じリスクを抱えることになります。
セキュリティ企業による同種の買収は今後も相次ぐと見られ、NHI管理は単独の専門分野として確立しつつあります。エージェントを本番運用に載せる際は、権限の棚卸しや失効の仕組みを最初から設計に組み込んでおくことが、事後対応より低コストになりそうです。今後は、こうしたNHI監視ツールが大手クラウドベンダーの標準機能に組み込まれ、専業スタートアップの技術がその中に吸収されていく流れも予想されます。
まとめ
Cyeraによる10億ドルのOasis Security買収は、AIエージェントの普及がセキュリティ産業の再編を促している一例です。非人間アイデンティティの管理は、AIを本番導入する企業にとって避けて通れない課題になりつつあり、今後も同様の買収や提携が続くと見られます。
参考リンク
アイキャッチ画像: Photo by Elena Mozhvilo on Unsplash
