Gelombang baru keamanan identitas AI sedang naik ke permukaan setelah Cyera bergerak mengakuisisi Oasis Security dalam kesepakatan besar yang langsung bikin pasar cybersecurity kembali menoleh. Ini bukan sekadar cerita startup siber membeli startup siber lain, karena isu yang dibawa jauh lebih dalam dari urusan ekspansi produk biasa. Di balik transaksi ini, ada sinyal kuat bahwa perusahaan global mulai sadar kalau AI agent, bot internal, service account, token otomatis, dan koneksi mesin-ke-mesin sudah menjadi “pengguna” baru di dalam sistem digital mereka. Masalahnya, pengguna baru ini tidak punya wajah, tidak punya jam kerja, tidak minta izin seperti karyawan manusia, tetapi bisa mengakses data sensitif dalam skala besar. Karena itulah, akuisisi Cyera terhadap Oasis terasa seperti momen penting yang menandai bahwa identitas non-manusia kini naik kelas dari isu teknis menjadi prioritas strategis bisnis.
Kenapa Akuisisi Cyera dan Oasis Jadi Sorotan
Cyera selama ini dikenal sebagai pemain yang membangun platform keamanan data untuk membantu perusahaan memahami di mana data sensitif berada, siapa yang bisa mengaksesnya, dan bagaimana data itu bergerak di lingkungan cloud maupun sistem enterprise modern. Oasis Security, di sisi lain, masuk dari sudut yang makin panas, yaitu pengelolaan identitas non-manusia seperti API key, token, akun layanan, otomatisasi software, dan AI agent. Ketika dua area ini disatukan, ceritanya bukan lagi sekadar melindungi file atau database, tetapi juga memahami aktor digital yang bergerak di sekitar data tersebut. Dalam dunia kerja yang makin banyak memakai AI, pemisahan antara data security dan identity security mulai terasa terlalu sempit. Akuisisi ini menjadi menarik karena Cyera seperti ingin mengatakan bahwa masa depan keamanan enterprise tidak bisa hanya bertanya “data apa yang sensitif”, tetapi juga harus bertanya “identitas apa yang sedang menyentuh data itu”.
Di banyak perusahaan, penggunaan AI agent berkembang lebih cepat daripada kemampuan tim keamanan untuk memetakannya. Satu departemen bisa memakai agen AI untuk merangkum dokumen, tim engineering memakai bot untuk membantu coding, divisi sales memakai otomatisasi untuk membaca CRM, sementara finance menguji sistem internal untuk laporan anggaran. Semua alat itu mungkin terlihat membantu, tetapi di balik layar mereka membutuhkan izin akses, koneksi API, token autentikasi, dan jalur menuju data perusahaan. Ketika jumlahnya masih sedikit, risiko ini bisa terasa mudah diawasi, tetapi ketika ratusan hingga ribuan identitas non-manusia muncul dalam ekosistem yang sama, situasinya berubah drastis. Pada titik inilah keamanan identitas AI menjadi lebih dari sekadar istilah baru di industri cybersecurity.
Langkah Cyera juga datang di tengah pasar yang sedang ramai membicarakan konsolidasi cybersecurity. Banyak vendor kini sadar bahwa perusahaan tidak ingin membeli terlalu banyak alat yang berdiri sendiri, apalagi ketika ancaman bergerak semakin cepat dan tim keamanan sering kekurangan tenaga. Solusi yang bisa menggabungkan visibilitas data, kontrol akses, deteksi risiko, kepatuhan, dan konteks AI akan terasa lebih menarik daripada produk yang hanya menyelesaikan satu bagian kecil. Karena itu, akuisisi Oasis memberi Cyera jalur cepat untuk masuk lebih dalam ke ranah non-human identity management. Dalam kacamata bisnis, ini bukan hanya pembelian teknologi, tetapi juga pembelian posisi strategis di pasar yang sedang dibentuk ulang oleh AI.
Keamanan Identitas AI Jadi Isu Baru Enterprise
Keamanan identitas AI menjadi penting karena AI agent tidak bekerja seperti akun manusia biasa. Seorang karyawan bisa login, menerima MFA, punya jabatan, berganti posisi, atau keluar dari perusahaan dengan proses offboarding yang relatif jelas. Namun, identitas non-manusia sering dibuat untuk kebutuhan teknis yang cepat, misalnya menghubungkan satu aplikasi dengan aplikasi lain, menjalankan pipeline otomatis, membaca database tertentu, atau menjalankan tugas rutin tanpa campur tangan manusia. Masalahnya, banyak identitas seperti ini tidak pernah benar-benar ditinjau ulang setelah dibuat. Token lama tetap aktif, izin akses terlalu luas, akun layanan dipakai lintas tim, dan dokumentasi sering tertinggal jauh dari realitas sistem yang berjalan.
AI agent membuat persoalan itu makin rumit karena mereka tidak hanya menjalankan perintah statis. Dalam beberapa skenario, agen bisa memilih langkah, memanggil tool, membaca konteks, mengambil keputusan operasional, lalu mengirim hasil ke sistem lain. Jika identitas yang digunakan agen tersebut punya akses berlebihan, kesalahan kecil bisa berubah menjadi kebocoran data, pelanggaran kepatuhan, atau bahkan jalur masuk bagi penyerang. Bayangkan agen internal yang dirancang untuk membantu tim customer support, tetapi ternyata punya akses ke data finansial yang tidak relevan dengan tugasnya. Ketika kontrol identitas tidak rapi, perusahaan bisa saja baru sadar setelah data sudah berpindah ke tempat yang salah.
Isu ini juga terasa makin nyata karena organisasi modern berjalan di atas tumpukan cloud, SaaS, API, dan workflow otomatis. Setiap integrasi biasanya membutuhkan semacam kredensial, dan setiap kredensial adalah pintu kecil yang bisa menjadi besar jika tidak dijaga. Di masa lalu, banyak tim keamanan fokus pada akun admin, password karyawan, dan ancaman phishing, karena manusia memang sering menjadi titik lemah utama. Sekarang, identitas mesin dan agen otomatis bisa menjadi titik lemah yang lebih sunyi, lebih banyak, dan lebih sulit dilihat. Maka dari itu, pembahasan cybersecurity enterprise mulai bergeser dari sekadar melindungi endpoint menjadi memahami seluruh ekosistem identitas yang mengelilingi data.
Identitas Non-Manusia Bukan Masalah Kecil
Banyak perusahaan sering meremehkan identitas non-manusia karena bentuknya tidak terlihat seperti risiko klasik. Tidak ada pegawai yang mengklik link phishing, tidak ada laptop yang hilang, dan tidak ada admin yang sengaja membagikan password. Namun, risiko dari akun layanan, API token, secret key, dan AI agent bisa jauh lebih sulit dilacak karena mereka hidup di balik sistem. Ketika satu token bocor atau satu service account punya izin terlalu besar, penyerang bisa bergerak tanpa memicu alarm yang biasanya dirancang untuk perilaku manusia. Itulah alasan mengapa pendekatan keamanan lama perlu diperbarui dengan visibilitas yang lebih tajam terhadap identitas non-manusia.
Oasis Security masuk ke area ini dengan fokus pada penemuan, pemetaan, dan pengamanan identitas non-manusia di lingkungan enterprise. Nilai strategisnya bukan hanya pada kemampuan menemukan akun atau token yang tersebar, tetapi juga memahami relasi antara identitas tersebut, sistem yang mereka akses, dan data yang mereka sentuh. Ketika teknologi seperti ini digabung dengan platform data security, perusahaan bisa mendapat gambaran yang lebih utuh tentang risiko. Mereka tidak hanya tahu bahwa sebuah database berisi data sensitif, tetapi juga tahu AI agent mana yang punya akses ke sana dan apakah akses itu masih relevan. Kombinasi inilah yang membuat akuisisi Cyera terhadap Oasis terasa masuk akal secara teknis maupun bisnis.
AI Agent Mengubah Cara Perusahaan Melihat Risiko
Kenaikan AI agent di lingkungan kerja membawa rasa optimis sekaligus kekhawatiran. Dari sisi produktivitas, agen AI bisa membantu menyusun laporan, membaca dokumen legal, mencari bug, merapikan database, menjawab pelanggan, hingga mengotomatisasi proses bisnis yang sebelumnya memakan waktu berjam-jam. Namun dari sisi keamanan, setiap kemampuan baru biasanya datang bersama permukaan serangan baru. Ketika agen diberi akses untuk melakukan tindakan di banyak sistem, perusahaan harus memastikan agen itu hanya bisa melakukan hal yang memang diperlukan. Jika tidak, AI yang awalnya dirancang untuk mempercepat pekerjaan bisa berubah menjadi jalur risiko yang tidak disadari.
Perubahan ini membuat prinsip least privilege kembali menjadi sangat relevan. Dalam praktiknya, setiap identitas, baik manusia maupun non-manusia, seharusnya hanya punya akses minimum yang diperlukan untuk menjalankan tugasnya. Tetapi prinsip ini sulit diterapkan kalau perusahaan bahkan tidak tahu berapa banyak AI agent yang aktif, token mana yang masih digunakan, atau service account mana yang sudah tidak punya pemilik jelas. Banyak organisasi punya inventaris aset yang cukup rapi untuk server dan laptop, tetapi tidak punya peta yang sama jelasnya untuk identitas otomatis. Di sinilah keamanan identitas AI menjadi fondasi yang tidak bisa ditunda.
AI agent juga menantang cara audit tradisional bekerja. Dalam audit biasa, perusahaan bisa melihat user log, role, department, dan approval yang terkait dengan akses tertentu. Namun, ketika sebuah tindakan dilakukan oleh agen otomatis, pertanyaan berikutnya menjadi lebih kompleks. Siapa pemilik agen itu, siapa yang menyetujui aksesnya, data apa yang boleh dipakai, model apa yang memproses output, dan apakah keputusan agen bisa dijelaskan kembali jika terjadi masalah. Tanpa jawaban yang jelas, audit bisa berubah menjadi proses menebak-nebak di tengah tumpukan log yang panjang.
Risiko Baru dari Otomatisasi yang Terlalu Cepat
Perusahaan sering bergerak cepat ketika teknologi baru dianggap bisa memberi keuntungan kompetitif. Fenomena ini terlihat jelas pada adopsi AI, di mana banyak tim langsung menguji tool baru tanpa menunggu kebijakan internal benar-benar matang. Pada satu sisi, eksperimen cepat bisa menciptakan inovasi, tetapi pada sisi lain, eksperimen yang tidak tercatat bisa melahirkan shadow AI. Shadow AI terjadi ketika karyawan atau tim menggunakan sistem AI tanpa visibilitas penuh dari tim IT dan keamanan. Ketika shadow AI bertemu identitas non-manusia yang tidak terkelola, risiko yang muncul bisa menyentuh data pelanggan, rahasia bisnis, hingga dokumen internal bernilai tinggi.
Masalahnya, pelarangan total jarang menjadi jawaban yang realistis. Karyawan tetap akan mencari cara untuk bekerja lebih cepat, terutama jika kompetitor sudah memakai AI dalam proses bisnis mereka. Karena itu, pendekatan yang lebih masuk akal adalah membuat kontrol yang bisa mengikuti kecepatan adopsi, bukan mematikan inovasi dari awal. Perusahaan perlu memberi jalan aman agar AI bisa dipakai tanpa membuat data sensitif berkeliaran tanpa batas. Akuisisi Cyera dan Oasis terlihat relevan karena menjanjikan arah tersebut, yaitu menggabungkan visibilitas data dengan kontrol identitas agar AI dapat digunakan secara lebih bertanggung jawab.
Dampak Akuisisi Ini bagi Pasar Cybersecurity
Dari perspektif pasar, akuisisi besar seperti ini memperlihatkan bahwa cybersecurity sedang memasuki fase baru. Selama bertahun-tahun, industri keamanan digital dipenuhi kategori produk yang berbeda-beda, mulai dari endpoint protection, cloud security, identity access management, data loss prevention, sampai posture management. Namun, AI membuat batas antar kategori itu semakin kabur. Data security tidak bisa berdiri sendiri tanpa identity context, sementara identity security tidak cukup kuat jika tidak memahami sensitivitas data yang diakses. Karena itu, vendor yang mampu menyatukan beberapa lapisan keamanan dalam satu narasi produk berpotensi lebih cepat mendapat perhatian perusahaan besar.
Langkah Cyera juga bisa memicu vendor lain untuk bergerak lebih agresif. Jika non-human identity management dianggap sebagai bagian inti dari keamanan AI, maka perusahaan keamanan besar kemungkinan akan mencari teknologi serupa untuk memperkuat portofolio mereka. Startup yang bergerak di area AI governance, machine identity, secret management, dan agent security bisa mendapat sorotan lebih besar. Investor juga kemungkinan melihat bahwa pasar ini bukan lagi spekulasi kecil, melainkan kebutuhan yang tumbuh bersama adopsi AI di enterprise. Dalam konteks itu, Oasis menjadi contoh bagaimana fokus pada masalah yang tepat di waktu yang tepat dapat menghasilkan nilai yang sangat besar.
Namun, konsolidasi juga membawa tantangan. Ketika vendor besar menyatukan banyak kemampuan dalam satu platform, pelanggan harus tetap kritis melihat apakah integrasi tersebut benar-benar matang atau hanya terlihat rapi di materi pemasaran. Menggabungkan produk keamanan tidak selalu mudah karena setiap platform punya arsitektur, model data, dan cara kerja yang berbeda. Jika integrasi berjalan lambat, pelanggan bisa mengalami friksi, terutama bila mereka sudah memakai banyak tool lain di lingkungan yang kompleks. Karena itu, keberhasilan akuisisi ini tidak hanya diukur dari nilai transaksi, tetapi dari seberapa cepat teknologi Oasis bisa memperkuat pengalaman pengguna Cyera secara nyata.
Apa Artinya bagi CISO dan Tim Keamanan
Bagi CISO, berita ini menjadi pengingat bahwa strategi keamanan AI tidak boleh berhenti pada kebijakan penggunaan chatbot atau pelatihan karyawan. Tantangan yang lebih besar justru ada di lapisan operasional, yaitu bagaimana organisasi memetakan semua identitas yang digunakan oleh aplikasi, bot, workflow otomatis, dan agen AI. Tanpa inventaris yang jelas, sulit bagi tim keamanan untuk menilai risiko secara akurat. Mereka mungkin punya kebijakan bagus di atas kertas, tetapi tetap buta terhadap token aktif yang memberikan akses luas ke sistem penting. Situasi seperti ini membuat keamanan identitas AI harus masuk ke agenda audit dan roadmap keamanan tahun ini.
Tim keamanan juga perlu mulai menghubungkan data sensitivity dengan identity behavior. Artinya, mereka tidak cukup hanya tahu bahwa sebuah dataset berisi informasi pelanggan, tetapi juga harus tahu identitas mana yang mengakses dataset itu, dari mana akses dilakukan, seberapa sering akses terjadi, dan apakah pola tersebut sesuai dengan kebutuhan bisnis. Jika sebuah AI agent tiba-tiba menarik data dalam volume besar dari sistem yang tidak biasa, alarm harus bisa muncul sebelum insiden berkembang. Pendekatan ini membutuhkan telemetry yang lebih kaya dan analisis konteks yang lebih cerdas. Itulah mengapa kombinasi data security dan identity security semakin terasa seperti arah yang alami.
Di sisi lain, CISO juga harus berkomunikasi dengan manajemen bisnis menggunakan bahasa yang mudah dipahami. Risiko AI agent tidak boleh hanya dijelaskan sebagai masalah token, secret, atau service account, karena istilah teknis seperti itu sering gagal menciptakan urgensi di level eksekutif. Penjelasan yang lebih kuat adalah bahwa perusahaan sekarang memiliki “tenaga kerja digital” yang bisa menyentuh data penting tanpa pengawasan manusia langsung. Jika tenaga kerja digital ini tidak dikelola, perusahaan bisa kehilangan kontrol atas informasi yang paling bernilai. Narasi seperti ini lebih mudah dipahami oleh CEO, CFO, dan dewan direksi yang ingin memanfaatkan AI tanpa membuka pintu risiko baru.
Langkah Praktis yang Mulai Mendesak
Perusahaan yang ingin merespons tren ini tidak harus langsung mengganti seluruh arsitektur keamanan mereka. Langkah pertama yang lebih realistis adalah membuat inventaris identitas non-manusia di lingkungan internal, termasuk akun layanan, API key, token, bot, integrasi SaaS, dan agen AI yang sudah aktif. Setelah itu, tim keamanan perlu mengidentifikasi akses mana yang terlalu luas, kredensial mana yang sudah lama tidak diputar, dan identitas mana yang tidak punya pemilik bisnis yang jelas. Tahap berikutnya adalah menghubungkan identitas tersebut dengan data yang mereka akses, terutama data pribadi, informasi keuangan, rahasia dagang, dan dokumen pelanggan. Dengan cara ini, perusahaan bisa mulai membangun dasar manajemen identitas AI yang lebih kuat tanpa harus menunggu insiden terjadi.
Selain inventaris, perusahaan perlu memperbarui proses procurement dan governance untuk tool AI. Setiap alat baru yang masuk ke lingkungan kerja harus ditanya dengan jelas: data apa yang akan diproses, identitas apa yang digunakan, siapa pemiliknya, bagaimana log dicatat, dan bagaimana akses dicabut saat tidak lagi diperlukan. Pertanyaan ini terdengar sederhana, tetapi sering terlewat karena tim bisnis ingin bergerak cepat. Padahal, governance yang baik tidak harus memperlambat inovasi jika prosesnya dibuat jelas sejak awal. Justru dengan aturan yang transparan, adopsi AI bisa berjalan lebih percaya diri karena risiko sudah dipetakan dari awal.
Identitas, Data, dan Masa Depan AI Security
Masa depan AI security kemungkinan akan semakin banyak berbicara tentang hubungan antara identitas dan data. AI tidak bisa bekerja tanpa data, sementara data tidak aman jika identitas yang mengaksesnya tidak terkendali. Dalam model enterprise modern, dua hal ini saling mengunci. Data memberi bahan bakar bagi AI, sedangkan identitas menentukan siapa atau apa yang boleh mendekati bahan bakar tersebut. Jika salah satu lemah, seluruh sistem bisa ikut rapuh meskipun perusahaan sudah memasang banyak alat keamanan lain.
Akuisisi Cyera terhadap Oasis memperlihatkan bahwa pasar mulai melihat kebutuhan untuk membangun lapisan kepercayaan baru di era AI. Lapisan ini tidak hanya menjaga data dari pencurian, tetapi juga memastikan setiap akses punya konteks, tujuan, batas, dan jejak audit yang jelas. Ketika AI agent menjadi bagian normal dari operasi perusahaan, kontrol seperti ini akan terasa sama pentingnya dengan password policy pada era awal internet perusahaan. Bedanya, skala dan kecepatannya jauh lebih besar. Satu agen bisa bergerak lintas sistem dalam hitungan detik, sehingga mekanisme keamanan juga harus mampu merespons dengan tempo yang sama.
Tren ini juga akan mendorong perubahan cara perusahaan memilih vendor keamanan. Mereka tidak lagi hanya bertanya apakah sebuah produk bisa mendeteksi ancaman, tetapi juga apakah produk itu bisa memberi konteks bisnis yang jelas. Perusahaan ingin tahu data mana yang paling berisiko, identitas mana yang paling berbahaya, agen mana yang keluar dari jalur, dan kontrol mana yang harus diprioritaskan. Dengan kata lain, keamanan tidak cukup hanya berbunyi saat ada serangan, tetapi harus membantu organisasi mengambil keputusan sebelum serangan terjadi. Inilah arah yang membuat keamanan data AI dan identity governance semakin menyatu.
Mengapa Bisnis Tidak Bisa Menunggu
Banyak organisasi masih berada dalam fase eksplorasi AI, tetapi fase itu tidak berarti risikonya kecil. Justru pada masa eksperimen, kontrol sering paling longgar karena tim belum punya standar yang mapan. Karyawan mencoba tool baru, developer menghubungkan model dengan repositori kode, analis memasukkan data ke platform pihak ketiga, dan manajer meminta ringkasan dokumen internal dengan bantuan AI. Semua aktivitas ini terlihat wajar secara produktivitas, tetapi bisa menciptakan jejak akses yang sulit dilacak. Jika perusahaan menunggu sampai implementasi AI benar-benar besar, pekerjaan merapikan identitas dan data bisa menjadi jauh lebih mahal.
Bisnis juga harus memahami bahwa regulator, pelanggan, dan mitra akan semakin peduli pada penggunaan AI yang aman. Ketika data pribadi atau informasi sensitif diproses oleh sistem otomatis, pertanyaan soal akuntabilitas akan muncul lebih sering. Siapa yang bertanggung jawab jika AI agent mengakses data yang tidak semestinya, siapa yang menjelaskan keputusan otomatis, dan bagaimana perusahaan membuktikan bahwa kontrol sudah diterapkan. Tanpa visibilitas identitas, jawaban atas pertanyaan ini akan terasa kabur. Karena itu, investasi pada keamanan data dan identitas bukan lagi sekadar biaya teknis, melainkan bagian dari kepercayaan bisnis.
Di level operasional, menunda pembenahan juga bisa membuat tim keamanan kelelahan. Semakin banyak agen, token, dan integrasi yang dibuat tanpa standar, semakin sulit melakukan pembersihan di kemudian hari. Kredensial yang tidak terdokumentasi bisa tetap hidup bertahun-tahun, bahkan setelah proyek asalnya sudah dihentikan. Akun layanan yang awalnya dibuat untuk pengujian bisa berubah menjadi pintu akses permanen ke sistem produksi. Ketika pola seperti ini dibiarkan, perusahaan sebenarnya sedang membangun utang keamanan yang akan datang menagih saat insiden terjadi.
Kesimpulan: Babak Baru Keamanan Identitas AI
Akuisisi Cyera terhadap Oasis Security menjadi salah satu sinyal paling jelas bahwa keamanan identitas AI sedang bergerak dari pinggir diskusi menuju pusat strategi cybersecurity enterprise. Dunia bisnis tidak lagi hanya berhadapan dengan user manusia, tetapi juga dengan jaringan identitas digital yang dijalankan oleh software, bot, integrasi otomatis, dan AI agent. Identitas-identitas ini bisa mempercepat operasional, tetapi juga bisa membuka risiko besar jika tidak dikelola dengan disiplin. Karena itu, perusahaan perlu melihat keamanan AI bukan sebagai proyek tambahan, melainkan sebagai evolusi dari cara mereka melindungi data, akses, dan kepercayaan pelanggan. Cyera dan Oasis mungkin hanya satu transaksi di pasar yang luas, tetapi pesan yang dibawanya cukup kuat: di era AI, siapa yang mengakses data sama pentingnya dengan data apa yang sedang dilindungi.
Ke depan, perusahaan yang lebih cepat memahami hubungan antara data security dan identity governance akan punya posisi yang lebih siap menghadapi gelombang AI berikutnya. Mereka bisa mengadopsi agen AI dengan lebih percaya diri, mempercepat inovasi tanpa mengorbankan kontrol, dan menjawab tuntutan audit dengan bukti yang lebih jelas. Sementara itu, organisasi yang membiarkan identitas non-manusia tumbuh tanpa pengawasan berisiko menghadapi kekacauan yang sulit dibereskan saat skala AI sudah terlalu besar. Maka, momentum ini seharusnya menjadi panggilan untuk mulai memetakan, membatasi, dan mengawasi setiap identitas digital yang bergerak di dalam sistem. Pada akhirnya, masa depan cybersecurity bukan hanya tentang menahan serangan, tetapi tentang membangun lingkungan digital yang tahu persis siapa, apa, dan mengapa sebuah akses terjadi.