W czerwcu 2026 roku doszło do dwóch transakcji w obszarze identity security. Quest Software poinformował o przejęciu Anetac, a SailPoint zakończył przejęcie Entro Security. Obie firmy pracują nad rozwiązaniami związanymi z ochroną non-human identities, czyli tożsamości nieludzkich, takich jak konta serwisowe, aplikacje, workloady, tokeny, sekrety, certyfikaty, boty oraz agenci AI. Temat NHI opisywaliśmy już szerzej na Kapitanie Hacku w artykule „Czym są non-human identities (NHI)? Jak możemy je chronić i jakie zagrożenia stwarzają dla organizacji?”, gdzie pokazaliśmy, że tożsamości nieludzkie obejmują m.in. boty, skrypty automatyzujące, klucze API, konta usługowe, tokeny OAuth, sekrety i certyfikaty cyfrowe.

Autor: 7 min czytania

Co kupił Quest?

Quest Software ogłosił przejęcie Anetac 17 czerwca 2026 roku. Według komunikatu Anetac dostarcza oparte na sztucznej inteligencji rozwiązania identity security dla tożsamości ludzkich, nieludzkich i agentowych. Transakcja ma wzmocnić platformę bezpieczeństwa Quest o pełną widoczność dostępów i uprawnień dla różnych typów tożsamości.

Co kupił SailPoint?

SailPoint ogłosił zamiar przejęcia Entro Security 15 czerwca 2026 roku, a 29 czerwca 2026 roku poinformowano o zakończeniu transakcji. Entro Security to firma z Tel Awiwu specjalizująca się w non-human identity oraz credentials security.

Według SailPoint rozwiązania Entro mają pomóc w wykrywaniu, klasyfikowaniu i zabezpieczaniu sekretów, tokenów, certyfikatów oraz innych poświadczeń używanych przez aplikacje, workloady i agentów AI.

Czym są non-human identities?

Non-human identities, czyli NHI, to tożsamości przypisane nie do ludzi, lecz do elementów infrastruktury IT. W serii „NHI – niewidzialne zagrożenie” zwracaliśmy uwagę, że są one coraz ważniejszym elementem bezpieczeństwa organizacji, a ich liczba może być wielokrotnie większa niż klasycznych kont użytkowników.

Dlaczego temat NHI pojawia się przy obu akwizycjach?

W obu komunikatach pojawia się ten sam obszar: non-human identities, agentic identities, sekrety i poświadczenia. W przypadku Anetac mowa o widoczności tożsamości ludzkich, nieludzkich i agentowych. W przypadku Entro – o NHI oraz credentials security, czyli ochronie poświadczeń używanych przez maszyny, aplikacje i agentów AI. Na Kapitanie Hacku temat poświadczeń NHI opisywaliśmy osobno w artykule „Sekrety, które powinny zostać sekretami – czyli jak chronić poświadczenia (credentials) NHI – część 1”. To właśnie ten obszar pojawia się w komunikacie SailPoint dotyczącym Entro: wykrywanie i zabezpieczanie sekretów, tokenów, certyfikatów oraz innych poświadczeń w środowiskach chmurowych i hybrydowych. Z kolei z artykule „NHI w chmurze – dlaczego same CSPM i PAM to za mało?” opisywaliśmy, że współczesne środowiska chmurowe zawierają wiele tożsamości maszynowych, aplikacyjnych i usługowych, a tradycyjne podejście do zarządzania tożsamością nie zawsze wystarcza przy rosnącej liczbie automatycznych połączeń i procesów. W tym samym materiale opisaliśmy pięć filarów bezpieczeństwa tożsamości: IAM, IGA, PAM, ISPM oraz ITDR. Ten kontekst dobrze pasuje do obu akwizycji, ponieważ zarówno Anetac, jak i Entro są pozycjonowane wokół widoczności, wykrywania, kontekstu użycia i ochrony tożsamości technicznych oraz agentowych.

Gdzie w tym wszystkim są agenci AI?

Obie transakcje odnoszą się również do agentic identities albo agentów AI. Quest w komunikacie dotyczącym Anetac używa określenia „agentic AI era”, a SailPoint łączy przejęcie Entro z rozwojem Agentic Fabric i zabezpieczaniem tożsamości agentowych. Na Kapitanie Hacku temat agentów AI w kontekście tożsamości opisaliśmy w artykule „Agent AI w Microsoft Entra ID – nowy model tożsamości dla agentów AI”. Wyjaśnialiśmy tam między innymi, że agent AI nie powinien być traktowany jak zwykły użytkownik, a jego aktywność powinna być możliwa do rozróżnienia w logach, audycie i procesach governance.

Jakie ryzyka NHI warto mieć na radarze?

Przy okazji tych akwizycji warto wrócić do kilku praktycznych problemów, które opisywaliśmy w serii o NHI.

Pierwszy problem to hasła, klucze API i tokeny zapisane w kodzie lub plikach konfiguracyjnych. W artykule „Jakie są najczęstsze błędy w zarządzaniu NHI i jak ich unikać – część 1” wskazywaliśmy, że hard-coded credentials są jednym z podstawowych błędów w zarządzaniu tożsamościami nieludzkimi.

Drugi problem to nadmiarowe uprawnienia. W części drugiej cyklu pisaliśmy o zbyt szerokich uprawnieniach kont maszynowych, potrzebie stosowania zasady najmniejszych uprawnień oraz regularnym przeglądzie dostępów NHI.

Trzeci problem to brak rotacji sekretów. W artykule „Sekrety, które powinny pozostać sekretami – czyli jak chronić poświadczenia (credentials) NHI – część 2” wskazywaliśmy, że każdy sekret NHI powinien mieć określony maksymalny czas życia, a regularna rotacja ogranicza możliwość wykorzystania przechwyconego klucza lub tokenu.

Czwarty problem to wykrywanie nietypowego użycia NHI. W artykule „Monitoring NHI – jak wykryć, że pod maszynę podszywa się człowiek?” opisywaliśmy, że przy rosnącej automatyzacji organizacji wzrasta ryzyko użycia kont maszynowych w sposób niezgodny z przeznaczeniem, a nie wszystkie systemy IAM lub PAM wykrywają takie nadużycia.

Co to oznacza dla zespołów bezpieczeństwa?

Dla zespołów IAM, IGA, PAM, DevSecOps i SOC obie akwizycje są kolejnym sygnałem, że tożsamości techniczne i agentowe powinny być traktowane jako element zarządzania bezpieczeństwem, a nie wyłącznie jako detal aplikacyjny.

Ten kierunek jest spójny z tematami, które poruszaliśmy już w cyklu „NHI – niewidzialne zagrożenie”: inwentaryzacją, właścicielstwem, ochroną sekretów, ograniczaniem uprawnień, monitoringiem oraz cyklem życia tożsamości nieludzkich.

Podsumowanie

Quest przejął Anetac, a SailPoint przejął Entro Security. Obie transakcje dotyczą obszaru non-human identities, agent identities, sekretów, tokenów i poświadczeń używanych przez aplikacje, automatyzację, workloady oraz agentów AI. Dla organizacji oznacza to, że temat NHI coraz częściej pojawia się w głównym nurcie identity security. Warto więc wrócić do podstawowych pytań: jakie konta serwisowe, service principals, workload identities, klucze API, tokeny i agenci AI działają w środowisku, kto za nie odpowiada i czy są objęte procesami zarządzania, monitoringu oraz rotacji.