La risposta breve
Cyera, società di sicurezza dei dati di origine israeliana valutata circa 12 miliardi di dollari, ha firmato il 28 luglio 2026 una lettera di intenti per acquisire Oasis Security per circa 1 miliardo di dollari — secondo le indiscrezioni, circa 700 milioni di dollari in contanti più azioni Cyera. Oasis, fondata nel 2022, protegge le identità non umane: gli account di servizio, i token, le chiavi digitali e, sempre più, gli agenti IA che si autenticano ai sistemi aziendali senza una persona dietro. Oasis opererà come unità dedicata all'interno di Cyera, integrando la governance delle identità nella piattaforma di sicurezza dei dati di Cyera.
L'operazione è una spia di mercato. Nel momento in cui rilasci un agente autonomo, hai creato un'identità capace di accedere, portare credenziali e raggiungere sistemi reali — e la maggior parte delle organizzazioni non riesce ancora a vedere, governare o verificare queste identità. È proprio questa lacuna a rendere l'identità degli agenti una priorità di primo ordine per chiunque sviluppi agenti IA, non un problema da aggiungere dopo il lancio.
Che cosa compra Cyera
Cyera si è fatta un nome con il data security posture management — scoprire dove risiedono i dati sensibili nel patrimonio cloud di un'organizzazione e classificarli. A giugno 2026 ha raccolto circa 600 milioni di dollari a una valutazione di circa 12 miliardi, ha raccolto in totale quasi 2,3 miliardi e dichiara oltre 150 milioni di dollari di ricavi ricorrenti annui, pur restando lontana dalla redditività. Oasis è la sua terza acquisizione dell'anno, dopo Ryft e Genie Security, e di gran lunga la più grande.
Oasis Security è stata fondata nel 2022 dall'amministratore delegato Danny Brickman e dal chief product officer Amit Zimerman, e aveva raccolto circa 190 milioni di dollari da investitori come Accel, Craft Ventures e Cyberstarts. La sua piattaforma inventaria e regola le credenziali con cui le macchine accedono: mappa quali account di servizio, API, bot e workload esistono e cosa possono raggiungere, segnala gli account dormienti e i permessi troppo ampi e può ruotare o ritirare quelle credenziali senza un umano nel processo. In altre parole, fa per le identità macchina ciò che gli strumenti di identity governance fanno da tempo per i dipendenti.
L'amministratore delegato di Cyera, Yotam Segev, sintetizza la logica senza giri di parole: «Conoscere i propri dati non basta se non si può governare chi — o cosa — li tocca.» Il piano è fondere la governance delle identità di Oasis con il motore di scoperta dei dati di Cyera, così che un'unica piattaforma risponda sia a «dove sono i miei dati sensibili?» sia a «quali umani e macchine possono raggiungerli?» Segev ha citato un aumento di quasi il 500% delle identità non umane nelle aziende Fortune 500 negli ultimi sei mesi come motivo per cui i due problemi non possono più essere risolti separatamente.
Perché l'identità degli agenti vale all'improvviso 1 mld $?
Partiamo da una definizione, perché il termine fa molto lavoro. Un'identità non umana (NHI) è qualsiasi credenziale che si autentica a un sistema senza una persona dietro — un account di servizio, una chiave API, un token OAuth, un'identità di workload in un cluster Kubernetes. Sono sempre esistite, ma erano una popolazione di sfondo gestibile. Gli agenti IA cambiano i conti. Un agente che pianifica una modifica, esegue test e apre una pull request deve autenticarsi al tuo repository, alle tue API cloud e forse al tuo database di produzione, e ciascuno di questi punti di contatto è un'identità con un segreto allegato.
È la scala ad aver reso rumoroso un problema silenzioso. Le identità non umane superano già quelle umane nella maggior parte delle imprese, spesso di un ordine di grandezza, e il boom degli agenti accelera quella curva — da cui l'affermazione di Cyera di un balzo di quasi il 500% nelle grandi aziende in sei mesi. Eppure la governance non ha tenuto il passo: nel corso del 2026 le indagini di settore hanno ripetutamente rilevato che la maggior parte delle organizzazioni applica controlli più deboli alle identità macchina e agente rispetto ai dipendenti, e che solo una piccola minoranza ha una vera strategia per gestirle. Una credenziale che non scade mai, con un ambito troppo ampio e che nessuno osserva è esattamente il tipo di appiglio che gli attaccanti bramano.
Ecco perché il denaro si muove. Un agente con privilegi eccessivi non è un'ipotesi: è un token attivo che può leggere dati che non dovrebbe mai vedere, o compiere un'azione che nessuno ha rivisto. Metterlo in sicurezza significa trattare i segreti come infrastruttura di primo piano — emettere credenziali di breve durata e con ambito ristretto da un archivio gestito come HashiCorp Vault anziché incorporare chiavi durature nel codice, e monitorare ciò che ogni identità fa davvero. Cyera scommette che questa disciplina diventerà prassi operativa standard, e che possedere gli strumenti per attuarla valga un miliardo di dollari.
Un'ondata di consolidamento, non un caso isolato
L'acquisto di Oasis non è isolato. La sicurezza delle identità non umane è diventata uno degli angoli del settore in più rapida crescita, e il 2026 ha visto una serie costante di operazioni e lanci di prodotto mirati esattamente a questo, mentre fornitori di identità, aziende di sicurezza dei dati e provider cloud si muovono tutti per coprire l'accesso di macchine e agenti. Quando gli operatori affermati iniziano a pagare cifre miliardarie per acquisire una capacità anziché costruirla, di solito è il segno che una categoria è passata da emergente a essenziale.
Per i team che costruiscono software, il consolidamento taglia da due lati. Il vantaggio: governare l'identità degli agenti farà sempre più parte di una piattaforma che forse già usi, anziché di uno strumento separato da valutare e integrare. L'avvertenza: la copertura di una piattaforma non equivale a una buona progettazione. Una dashboard che inventaria le tue identità macchina non serve a nulla se i tuoi agenti sono stati architettati per richiedere fin da subito un accesso ampio e permanente. I controlli devono comunque essere integrati nel modo in cui l'agente si autentica e in ciò che gli è consentito fare — una decisione ingegneristica presa molto prima che qualsiasi piattaforma di sicurezza la veda.
Cosa significa per i team IA in Italia
Per i team italiani che portano gli agenti davanti ai clienti e nei processi interni, il messaggio pratico è integrare l'identità nel design stesso dell'agente. Un agente dovrebbe autenticarsi come una propria identità delimitata, non detenere più privilegi di quanti il singolo compito davanti a sé richieda, e attingere i suoi segreti da un archivio gestito a runtime anziché da un file di configurazione o da una variabile d'ambiente committata mesi fa. Costruisci così e una futura revisione di sicurezza — o una futura prova da fornire a un cliente sotto requisiti Perimetro o DORA — diventa una formalità; salta questo passaggio e accumuli un debito che un audit di sicurezza prima o poi esigerà.
Nel contesto europeo, la stessa ingegneria è anche un requisito di conformità. Il regolamento IA (EU AI Act) spinge fornitori e deployer di sistemi di IA ad alto rischio verso una supervisione umana documentata, la registrazione e il controllo degli accessi, e il GDPR ha sempre chiesto di poter dire chi — o cosa — ha avuto accesso ai dati personali. Progettare correttamente l'identità degli agenti non è un flusso di lavoro parallelo alla conformità a NIS2 e all'AI Act; è gran parte di come la dimostri.
Nulla di tutto ciò è un motivo per rallentare sugli agenti. Le organizzazioni che ricavano valore reale dall'IA sono quelle che portano gli agenti in produzione, non quelle bloccate nei pilota. Il punto è che i team vincenti sono quelli che prendono l'identità di un agente tanto sul serio quanto la sua capacità — perché un agente capace con accesso non governato non è un asset, è un incidente in attesa di una data.
Come dare ai tuoi agenti un livello di identità
Una sequenza pratica applicabile a qualsiasi agente già presente nel tuo codice o nella tua roadmap:
- Inventaria le tue identità non umane. Elenca ogni account di servizio, chiave API, token e agente, cosa può raggiungere e quando è stato usato l'ultima volta. Non puoi governare ciò che non hai mai contato.
- Dai a ogni agente la sua identità. Non lasciare che gli agenti condividano le credenziali di un umano o un unico account di servizio condiviso; un'identità distinta per agente è ciò che rende possibili registrazione e revoca.
- Limita al privilegio minimo, mantieni la breve durata. Concedi solo l'accesso necessario al compito, emetti credenziali di breve durata e preferisci un ambito per richiesta ai permessi permanenti.
- Centralizza i segreti. Attingi le credenziali da un archivio di segreti gestito a runtime; non fare mai commit di chiavi durature in codice, configurazioni o file di ambiente.
- Registra e sappi revocare all'istante. Traccia a cosa accede ogni agente, allerta sulle anomalie e assicurati di poter ruotare o disattivare l'accesso di un agente compromesso senza attendere un umano nel processo.
La scommessa da un miliardo di dollari di Cyera è in fondo una scommessa su un cambio di comportamento: proteggere ciò che le macchine possono toccare diventerà routine tanto quanto proteggere ciò che le persone possono toccare. I team che costruiscono agenti oggi decidono se sono in vantaggio su quella curva o se corrono per raggiungerla.
Domande frequenti
Che cosa ha annunciato Cyera su Oasis Security?
Il 28 luglio 2026 Cyera, società di sicurezza dei dati di origine israeliana valutata di recente circa 12 miliardi di dollari, ha dichiarato di aver firmato una lettera di intenti per acquisire Oasis Security per circa 1 miliardo di dollari — secondo le indiscrezioni, circa 700 milioni di dollari in contanti e il resto in azioni Cyera. Oasis, fondata nel 2022, protegge le identità non umane come account di servizio, token, chiavi e agenti IA, e proseguirebbe come unità dedicata all'interno di Cyera.
Che cos'è un'identità non umana e perché conta per gli agenti IA?
Un'identità non umana (NHI) è qualsiasi credenziale macchina che si autentica senza una persona dietro: un account di servizio, una chiave API, un token OAuth, un'identità di workload o un agente IA autonomo. Ogni agente IA che distribuisci diventa una o più NHI capaci di accedere, custodire segreti e agire. Cyera afferma che le identità non umane nelle aziende Fortune 500 sono cresciute di quasi il 500% in sei mesi e sono il tipo di identità in più rapida crescita, ragione per cui governarle è diventato urgente.
Perché nel 2026 la sicurezza delle identità si consolida attorno agli agenti IA?
Man mano che le imprese portano gli agenti IA in produzione, questi si autenticano a repository di codice, API cloud e database come i dipendenti, ma con controlli più deboli. I fornitori integrano la governance delle identità non umane in piattaforme di dati e sicurezza più ampie, così che un unico piano di controllo veda e regoli umani e macchine. L'operazione Cyera-Oasis, terza acquisizione di Cyera nel 2026, segnala che l'identità degli agenti sta diventando una categoria di sicurezza di primo piano.
Cosa dovrebbero fare ora i team che sviluppano agenti IA?
Tratta ogni agente come un'identità fin dal primo giorno. Inventaria le identità macchina e i segreti usati dai tuoi agenti, emetti credenziali a privilegio minimo e di breve durata limitate a un singolo compito, conservale in un servizio di gestione dei segreti anziché nel codice, registra a cosa accede ogni agente e assicurati di poter revocare o ruotare l'accesso di un agente compromesso senza un umano nel processo. Questi controlli rispondono anche alle aspettative di governance di SOC 2, GDPR, NIS2, DORA e del regolamento IA.
L'acquisizione cambia qualcosa per gli attuali clienti?
L'operazione è una lettera di intenti firmata, quindi deve ancora chiudersi, e Cyera ha dichiarato che Oasis continuerà a operare come unità dedicata alle identità non umane. Nel breve termine è lecito attendersi continuità, con un'integrazione più stretta tra la governance delle identità di Oasis e la piattaforma dati di Cyera nel tempo. La lezione strategica conta di più: proteggere ciò che le macchine possono toccare è ormai inseparabile dal proteggere i dati stessi.
Fonti
TechCrunch — Cyera agrees to acquire Oasis Security for $1B to safeguard proliferating AI agents, 28 luglio 2026
SiliconANGLE — Cyera to buy nonhuman identity startup Oasis Security for a reported $1B, 28 luglio 2026
BankInfoSecurity — Cyera Bets $1B on Non-Human Identity Security With Oasis Buy, luglio 2026
Globes — Cyera acquires Oasis Security for $1b, 28 luglio 2026