Les identités machines dépassent désormais les humains dans un ratio de 80 pour 1 — et personne ne surveille ce qu'elles coûtent

Le 30 juillet 2026, Okta a accepté de payer environ 200 millions de dollars pour une startup qui fait une seule chose : suivre quels agents IA et identités machines dans une entreprise ont encore une raison d'exister. Pourquoi ça vaut 200M$ : l'entreprise moyenne fait désormais tourner plus de 80 identités machines pour chaque employé humain, et plus de 16% des organisations ne suivent même pas la création d'une nouvelle identité — encore moins le moment où elle devrait être supprimée.

Un pari à 200 millions de dollars sur une faille de gouvernance

La cible d'Okta, Permiso Security, détecte et neutralise les menaces à travers les identités humaines, non-humaines et agentiques dans des environnements multi-cloud. L'opération, structurée en quasi-totalité en cash pour un montant estimé à un peu moins de 200 millions de dollars, doit se conclure au T3 de l'exercice fiscal 2027 d'Okta. Okta n'achète pas des parts de marché avec cette opération — elle achète une catégorie qui existait à peine il y a trois ans : savoir quels agents IA sont encore actifs, ce qu'ils peuvent atteindre, et pourquoi ils ont été créés au départ.

Le ratio que personne n'avait budgété

Le rapport Cybersecurity Considerations 2026 de KPMG situe le ratio moyen identités non-humaines / humains en entreprise à plus de 80 pour 1, les identités machines étant passées d'environ 50 000 en 2021 à 250 000 en 2025 — une expansion en cinq ans qui a dépassé tous les processus de gouvernance d'identité conçus pour un monde d'employés humains et de quelques comptes de service. Le rapport 2026 Identity Security Landscape de Palo Alto Networks situe certaines entreprises encore plus haut, à 109 identités machines par identité humaine.

Pourquoi un agent orphelin est une ligne budgétaire, pas seulement une faille de sécurité

Les agents IA acquièrent des permissions dynamiquement à l'exécution, engendrent des sous-agents, invoquent des API externes, et enchaînent des actions à travers des dizaines de systèmes — c'est exactement ce qui rend un agent compromis ou oublié dangereux. Mais ces mêmes propriétés font d'un agent orphelin un problème de coût vivant, pas seulement un problème de sécurité : un agent dont plus personne ne se souvient ne s'arrête pas d'appeler l'API du modèle quand le projet qui l'a créé se termine. Il devient simplement une dépense sans propriétaire, invisible jusqu'à ce que quelqu'un réconcilie une facture face à un effectif qui n'a pourtant pas changé.

Une analyse 2026 de la Cloud Security Alliance a trouvé que plus de 16% des organisations ne suivent pas du tout la création d'identités liées à l'IA. C'est le même angle mort qui apparaît deux fois — une fois comme faille de sécurité, une fois comme faille d'attribution de coût — parce que c'est le même inventaire manquant en dessous des deux.

Le coût de la fuite est déjà chiffré ; le coût de la dépense fantôme, rarement

L'enquête State of Identity Security 2026 de Sophos a trouvé que 71% des organisations ont subi au moins une fuite liée à l'identité l'an dernier, pour un coût moyen de récupération de 1,64 million de dollars, avec une gestion faible des identités non-humaines citée comme facteur contributif. Les équipes sécurité ont commencé à chiffrer ce risque assez explicitement pour justifier une acquisition à 200M$. Les équipes FinOps et plateforme n'ont pour la plupart pas encore fait le lien équivalent : chaque identité d'agent non gouvernée dans ce ratio de 80 pour 1 est aussi un identifiant qui peut continuer à tirer sur un budget API indéfiniment, sans expiration liée au projet pour lequel il a été créé.

Ce qu'il faut vérifier avant d'ajouter un nouvel agent

• Avez-vous un inventaire unique de chaque clé API et identité d'agent, ou chaque équipe crée-t-elle et suit-elle les siennes ?
• Existe-t-il une étape de désactivation quand un projet ou une expérimentation se termine, ou les clés restent-elles simplement actives jusqu'à ce que quelqu'un remarque une ligne étrange sur une facture ?
• Pouvez-vous attribuer la dépense API à un agent nommé et toujours actif — ou « agent-quelque-chose » apparaît-il comme une ligne non expliquée et sans propriétaire ?

Ce qu'il faut retenir

Une acquisition à 200 millions de dollars est un signal fort que la prolifération des identités machines est passée d'un risque théorique à une priorité de conseil d'administration — mais elle est presque entièrement chiffrée comme un problème de sécurité. Le même ratio de 80 pour 1 qui inquiète les équipes sécurité fait aussi grimper une facture API que personne ne surveille, un agent orphelin à la fois. La solution pour les deux commence au même endroit : un inventaire qui sait quels agents sont encore censés exister.