La seguridad de agentes de IA se está convirtiendo en uno de los sectores de M&A más calientes del ciberseguridad. Según un informe publicado inicialmente por The Information y recogido por TechCrunch, Palo Alto Networks está negociando la adquisición de Clutch Security por 500 millones de dólares en efectivo, más pagos adicionales vinculados a hitos futuros. La cifra representa unas 50 veces los ingresos recurrentes anuales estimados de la Clutch, cerca de 10 millones de dólares; un múltiplo elevado, pero que refleja la disputa feroz entre los gigantes por adquirir startups que resuelvan el punto ciego más amenazante de la seguridad empresarial moderna: quiénes son todos los agentes de IA operando dentro de la red y a qué pueden acceder.
Fundada en 2023 y con sede en Tel Aviv, Clutch Security fue de las primeras en posicionarse como plataforma unificada de seguridad para identidades no humanas (NHI, por sus siglas en inglés) y agentes de IA. Su software mapea automáticamente cada agente, clave de API, cuenta de servicio y secreto en el entorno empresarial, trazando un rastro de linaje completo desde la persona que implementó el agente hasta los recursos a los que puede llegar. El producto se basa en una arquitectura Zero Trust: las credenciales de acceso se emiten como tokens de vida útil corta, y las políticas de seguridad operan sobre metadatos en lugar de los propios secretos, manteniendo el material sensible dentro del entorno del cliente.
El acuerdo es significativo por al menos tres razones. En primer lugar, Clutch ya se ha convertido en el último objetivo de una serie de adquisiciones que Palo Alto lanzó este año. La compra de Console, una plataforma de automatización del servicio de help desk impulsada por IA, fue la sexta adquisición de Palo Alto en 2026 (la séptima, según PitchBook). A principios de año, la empresa cerró los acuerdos de Chronosphere (3.350 millones de dólares para observabilidad en la nube), CyberArk (2.500 millones de dólares para seguridad de identidad), Koi (231 millones de dólares para seguridad de endpoints) y Portkey (seguridad de agentes, en mayo). Clutch sería la séptima, consolidando el enfoque de la empresa en identidades no humanas —el eslabón perdido que conecta humanos, máquinas y agentes autónomos.
En segundo lugar, el mercado de seguridad de agentes de IA está creciendo a un ritmo alarmante. Según Gartner, el mercado global para proteger IA alcanzará los 4.800 millones de dólares en 2027, con un crecimiento del 73 por ciento en el segmento de control de uso de IA. La IDC estima que el mercado más amplio de seguridad de agentic AI llegará a los 888.000 millones de dólares para 2035, con una tasa anual compuesta del 36,2 por ciento. La razón es sencilla: los agentes autónomos se están desplegando a escala industrial antes de que los equipos de seguridad tengan herramientas adecuadas para monitorearlos. Un informe de Microsoft, basado en más de 165 billones de señales de seguridad analizadas diariamente, reveló que el 82 por ciento de las organizaciones planean ampliar el uso de agentes de IA en los próximos 12 a 18 meses, pero el tiempo mediano desde el descubrimiento de vulnerabilidades hasta su explotación es de apenas cinco días.
En tercer lugar, el problema de seguridad es estructural. Gartner identificó la supervisión de agentes de IA como una de las principales tendencias en ciberseguridad para 2026: el 61 por ciento de los profesionales senior de seguridad ya han observado automatización por agentes de IA funcionando en software corporativo aprobado, a menudo sin saber que estaba activo. Incluso la NIST reconoce que los frameworks de ciberseguridad tradicionales no cubren el espectro completo de riesgos: un agente puede realizar acciones inesperadas aunque opere dentro de los permisos que recibió, porque el plano de control real no es el modelo, sino la cadena de identidades que hereda. Clutch aborda esto precisamente: cada agente se trata como una identidad no humana, con alcance de herramientas, recursos y credenciales definido por política, no por defecto.
Para Palo Alto Networks, la adquisición tiene sentido estratégico. Con la tecnología de Clutch integrada en su XSOAR y en la plataforma de identidad de CyberArk (adquirida en febrero de 2026), la empresa tendría control centralizado sobre la cadena completa de agentes de IA en entornos corporativos —desde el descubrimiento hasta la respuesta a incidentes. El CEO Nikesh Arora ya había declarado, al anunciar la compra de Console, que la empresa estaba "migrando de software como servicio a software como agente", y Clutch sería el brazo de seguridad de esa transformación.
Clutch, por su parte, tiene motivos para vender. Fundada hace apenas tres años, con un equipo de menos de 100 personas (crecimiento del 56 por ciento en la plantilla durante el último año, según Dealroom), la startup levantó 28,5 millones de dólares en ronda Series A liderada por SignalFire, con participación de Lightspeed Venture Partners y Merlin Ventures. La valoración de 80 millones de dólares y los 10 millones de dólares de ARR muestran tracción —pero también que Clutch necesita escalar para competir contra gigantes como Cisco (que compró Astix por 400 millones de dólares en el mismo espacio) y Microsoft.
Lo que hace esta adquisición particularmente reveladora es el timing. Para 2029, Gartner prevé que más de la mitad de todos los ciberataques exitosos contra agentes de IA explotarán debilidades de control de acceso e inyección de prompts. La pregunta es si Clutch habría podido mantenerse independiente en un mercado que ya dedica 500 millones de dólares a startups antes siquiera de que alcancen los 10 millones de dólares de ingresos recurrentes.
Fuentes: TechCrunch, Unite.AI, Gartner
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
