Quest przejmuje Anetac, SailPoint kupuje Entro. Dlaczego non-human identities stały się polem gry gigantów identity security?

W czerwcu 2026 roku w obszarze identity security doszło do dwóch transakcji, które na pierwszy rzut oka wyglądają jak niezależne ruchy dwóch różnych firm. W rzeczywistości są kolejnymi elementami tej samej, przyspieszającej fali konsolidacji wokół tożsamości nieludzkich (non-human identities, NHI). Quest Software ogłosił przejęcie Anetac, a SailPoint sfinalizował akwizycję Entro Security. Obie przejęte firmy budują rozwiązania do ochrony NHI — a więc kont serwisowych, aplikacji, workloadów, tokenów, sekretów, certyfikatów, botów oraz, coraz częściej, agentów AI.

Skala zjawiska, które napędza te transakcje, robi wrażenie: według danych przytaczanych przez Quest tożsamości maszynowe potrafią przewyższać liczbę użytkowników ludzkich nawet w proporcji 82:1. To właśnie ta „niewidzialna” warstwa infrastruktury staje się dziś jednym z najszybciej rosnących wektorów ataku. Temat NHI opisywaliśmy już szerzej na Kapitanie Hacku w artykule „Czym są non-human identities (NHI)? Jak możemy je chronić i jakie zagrożenia stwarzają dla organizacji?”, gdzie pokazaliśmy, że tożsamości nieludzkie obejmują m.in. boty, skrypty automatyzujące, klucze API, konta usługowe, tokeny OAuth, sekrety i certyfikaty cyfrowe.

Co kupił Quest?

Quest Software — firma wspierana kapitałowo przez fundusz Clearlake Capital — ogłosił przejęcie Anetac 17 czerwca 2026 roku. Zgodnie z oficjalnym komunikatem Quest Software, Anetac dostarcza opartą na sztucznej inteligencji platformę identity security obejmującą tożsamości ludzkie, nieludzkie i agentowe (agentic).

Anetac to stosunkowo młody gracz. Firma powstała w 2023 roku w Dolinie Krzemowej, zatrudnia około 40 osób i od początku prowadzona jest przez Timothy'ego Eadesa, który wcześniej przez ponad dekadę kierował firmą vArmour. Jej platforma pozycjonowana jest jako „Identity Vulnerability Management” (IdVM) — czyli ciągłe wykrywanie, klasyfikowanie i zarządzanie cyklem życia tożsamości oraz analiza łańcuchów dostępu i dziedziczenia uprawnień. Według Questa mocną stroną Anetac jest właśnie wykrywanie nietypowych zachowań i wczesne ostrzeganie w czasie rzeczywistym — obszar, który ma uzupełnić dotychczasowe kompetencje Questa w zakresie ochrony, odzyskiwania oraz ITDR. Wartości transakcji nie ujawniono.

Co kupił SailPoint?

SailPoint (notowany na Nasdaq pod tickerem SAIL) ogłosił zamiar przejęcia Entro Security 15 czerwca 2026 roku, a 29 czerwca poinformował o zamknięciu transakcji. Entro to firma z Tel Awiwu, specjalizująca się w ochronie non-human identities oraz poświadczeń (credentials security), założona przez Itzika Alvasa i Adama Cherikiego.

To, co wyróżnia tę akwizycję, to skala pokrycia, jaką wnosi Entro. Platforma obejmuje ponad 1000 typów tożsamości nieludzkich i agentów oraz wykrywa ponad 1200 typów poświadczeń — sekretów, kluczy, tokenów i certyfikatów — w ponad 70 źródłach: środowiskach chmurowych, narzędziach deweloperskich, pipeline'ach CI/CD oraz aplikacjach SaaS i kolaboracyjnych. Entro wnosi też własną technologię NHIDR (Non-Human Identity Detection and Response), która monitoruje zachowanie tokenów i kont maszynowych, wykrywa anomalie i potrafi przechwytywać podejrzane wywołania narzędzi przez agentów AI. Rozwiązanie ma zasilić platformę SailPoint Agentic Fabric i stanowi uzupełnienie ubiegłorocznego przejęcia Savvy Security. Podobnie jak w przypadku Questa, warunków finansowych nie ujawniono.

To nie dwa odosobnione ruchy — to fala konsolidacji

Najważniejszy kontekst obu transakcji jest taki, że nie są one wyjątkiem, lecz kontynuacją trendu, który od blisko dwóch lat zmienia mapę rynku identity security. Wystarczy spojrzeć na ostatnie miesiące:

• W październiku 2024 roku CyberArk sfinalizował przejęcie Venafi — lidera zarządzania tożsamościami maszynowymi (certyfikaty, PKI, klucze) — za około 1,54 mld USD.
• W lutym 2025 roku CyberArk dokupił Zilla Security, dokładając zdolność audytu i zarządzania cyklem życia tożsamości.
• SailPoint w ubiegłym roku przejął Savvy Security, a teraz dołożył Entro.
• Na szczycie tej piramidy stoi zapowiedziane przejęcie samego CyberArk przez Palo Alto Networks — transakcja szacowana na około 25 mld USD, z planowanym zamknięciem pod koniec 2026 roku.

Wniosek jest prosty: to, co jeszcze niedawno było niszą dla wyspecjalizowanych startupów, stało się strategicznym priorytetem największych graczy. Kiedy tożsamości maszynowe przewyższają ludzkie w proporcji od 40:1 do nawet 82:1, żaden dostawca aspirujący do miana platformy identity security nie może ignorować tej warstwy.

Czym właściwie są non-human identities?

Non-human identities to tożsamości przypisane nie ludziom, lecz elementom infrastruktury IT: aplikacjom, workloadom, API, botom i systemom automatyzacji. W przeciwieństwie do kont użytkowników nie są związane z konkretną osobą, uwierzytelniają się inaczej (kluczami, tokenami, certyfikatami) i zwykle wymykają się klasycznym mechanizmom bezpieczeństwa projektowanym dla ludzi.

Dobrą, uporządkowaną mapą tego obszaru jest zestawienie OWASP Non-Human Identities Top 10 — branżowy standard, który rankinguje najpoważniejsze ryzyka związane z NHI: od wycieku sekretów, przez nadmiarowe uprawnienia, po nieprawidłowy offboarding. W naszej serii „NHI – niewidzialne zagrożenie” zwracaliśmy uwagę, że tożsamości nieludzkie stają się coraz ważniejszym elementem bezpieczeństwa organizacji, a ich liczba może wielokrotnie przewyższać liczbę klasycznych kont użytkowników.

Gdzie w tym wszystkim są agenci AI?

Obie transakcje bardzo mocno akcentują wątek agentów AI (agentic identities). Quest w komunikacie o Anetac mówi wprost o „erze agentycznej AI”, a SailPoint wiąże przejęcie Entro z rozwojem platformy Agentic Fabric. Nie jest to przypadek: to właśnie masowe wdrażanie autonomicznych agentów jest głównym akceleratorem eksplozji liczby NHI. Agent AI działa z prędkością maszyny, podejmuje decyzje i sięga po dane w sposób trudny do przewidzenia — a często robi to z odziedziczonymi, nadmiarowymi uprawnieniami i przy niewielkim nadzorze.

Na Kapitanie Hacku temat agentów AI w kontekście tożsamości opisaliśmy w artykule „Agent AI w Microsoft Entra ID – nowy model tożsamości dla agentów AI”. Wyjaśnialiśmy tam m.in., że agent AI nie powinien być traktowany jak zwykły użytkownik, a jego aktywność musi być rozróżnialna w logach, audycie i procesach governance.

Dlaczego to realne ryzyko, a nie teoria

Łatwo potraktować NHI jako abstrakcyjny problem architektoniczny — do czasu, aż stanie się punktem wejścia do sieci. Najgłośniejsze incydenty ostatnich lat pokazują dokładnie ten scenariusz:

• W ataku Midnight Blizzard na Microsoft (styczeń 2024) napastnicy wykorzystali starą, nieużywaną aplikację OAuth — czyli zapomnianą, niezarządzaną tożsamość nieludzką z pełnymi uprawnieniami — by dostać się do produkcyjnych skrzynek pocztowych.
• W przypadku Okty (listopad 2023) źródłem kompromitacji było przejęte konto serwisowe, którego poświadczenia trafiły do prywatnego konta pracownika.

Tu pojawia się wątek, którego w pierwotnej wersji artykułu brakowało: ekonomia przestępcza. Wykradzione klucze API, tokeny i sekrety NHI nie leżą bezczynnie — trafiają na czarny rynek, gdzie handlują nimi brokerzy dostępu i klienci usług typu „haker do wynajęcia”. Ekspozycja jednego zahardkodowanego klucza potrafi obniżyć próg wejścia do infrastruktury ofiary niemal do zera, bo atakujący nie musi już łamać żadnego zabezpieczenia — wystarczy, że użyje gotowego, ważnego poświadczenia. To dlatego widoczność i rotacja sekretów przestają być wyłącznie „higieną” DevOps, a stają się realną barierą przeciwko atakom.

Jakie ryzyka NHI warto mieć na radarze

Przy okazji obu akwizycji warto wrócić do kilku praktycznych problemów, które opisywaliśmy w serii o NHI — i które nieprzypadkowo pokrywają się z rankingiem OWASP.

Sekrety w kodzie i konfiguracji. Hasła, klucze API i tokeny zapisane na sztywno w repozytoriach lub plikach konfiguracyjnych to jeden z podstawowych błędów (OWASP klasyfikuje go jako „Secret Leakage”). Pisaliśmy o tym w artykule „Jakie są najczęstsze błędy w zarządzaniu NHI i jak ich unikać – część 1”.

Nadmiarowe uprawnienia. Zbyt szerokie uprawnienia kont maszynowych (OWASP: „Overprivileged NHI”) zwiększają „blast radius” każdej kompromitacji. W części drugiej cyklu pisaliśmy o potrzebie stosowania zasady najmniejszych uprawnień oraz regularnym przeglądzie dostępów NHI.

Brak rotacji sekretów. Długo żyjące poświadczenia (OWASP: „Long-Lived Secrets”) dają atakującemu czas. W artykule „Sekrety, które powinny pozostać sekretami – czyli jak chronić poświadczenia (credentials) NHI – część 2” wskazywaliśmy, że każdy sekret NHI powinien mieć określony maksymalny czas życia, a regularna rotacja ogranicza wartość przechwyconego klucza lub tokenu.

Wykrywanie nietypowego użycia. Wraz z automatyzacją rośnie ryzyko, że pod konto maszynowe podszyje się człowiek — a nie każdy system IAM czy PAM to wychwyci. Opisywaliśmy to w artykule „Monitoring NHI – jak wykryć, że pod maszynę podszywa się człowiek?”. To właśnie ten obszar — detekcja i odpowiedź w czasie rzeczywistym — kupowały de facto zarówno Quest (przez Anetac), jak i SailPoint (przez technologię NHIDR Entro).

Co to oznacza dla zespołów bezpieczeństwa?

Dla zespołów IAM, IGA, PAM, DevSecOps i SOC obie akwizycje są kolejnym sygnałem, że tożsamości techniczne i agentowe muszą być traktowane jak pełnoprawny element zarządzania bezpieczeństwem, a nie jedynie detal aplikacyjny. Warto przy tym zauważyć, że rynek wyraźnie dzieli kompetencje na dwie warstwy: „szerokość” (governance, własność, cykl życia — domena platform IGA) oraz „głębokość” (wykrywanie sekretów, kontekst użycia, detekcja w runtime — domena wyspecjalizowanych narzędzi). Transakcje Questa i SailPointa to próba połączenia obu tych warstw pod jednym dachem.

Kierunek ten jest spójny z tematami z naszego cyklu „NHI – niewidzialne zagrożenie”: inwentaryzacją, właścicielstwem, ochroną sekretów, ograniczaniem uprawnień, monitoringiem oraz cyklem życia tożsamości nieludzkich. Warto potraktować ten cykl jako praktyczną listę kontrolną — niezależnie od tego, którego dostawcę ostatecznie wybierze organizacja.

Quest przejął Anetac, a SailPoint sfinalizował zakup Entro Security. Obie transakcje dotyczą tego samego obszaru — non-human identities, tożsamości agentowych, sekretów, tokenów i poświadczeń używanych przez aplikacje, automatyzację, workloady i agentów AI — i obie wpisują się w szerszą falę konsolidacji, którą wcześniej wyznaczyły ruchy CyberArk (Venafi, Zilla Security), SailPoint (Savvy Security) oraz zapowiedziane przejęcie CyberArk przez Palo Alto Networks.

Dla organizacji płynie z tego jasny wniosek: NHI przestały być tematem niszowym i wchodzą do głównego nurtu identity security. Warto więc wrócić do podstawowych pytań: jakie konta serwisowe, service principals, workload identities, klucze API, tokeny i agenci AI faktycznie działają w naszym środowisku, kto za nie odpowiada oraz czy są objęte procesami zarządzania, monitoringu i rotacji. Bo — jak pokazują zarówno głośne incydenty, jak i portfele zakupowe największych graczy — to właśnie tam przesuwa się dziś granica bezpieczeństwa.