Act Security è uscita dallo stealth il 28 luglio 2026 con 60 milioni di dollari di finanziamento totale e una piattaforma già operativa che impone confini di accesso deterministici a umani, workload e agenti AI su tutta l'infrastruttura cloud. Il capitale arriva in due tranche: un seed da 20 milioni di dollari guidato da Team8 e Bessemer Venture Partners, e una Series A da 40 milioni guidata da Notable Capital. Per i responsabili della sicurezza enterprise, una nuova voce di budget ha appena ricevuto un nome: agentic access control.
Lo sprawl degli accessi cloud cresce da un decennio. Le aziende hanno stratificato entitlement management, privileged access management e identity governance uno sopra l'altro, e il grafo delle autorizzazioni ha continuato comunque a espandersi. Secondo l'azienda, circa il 97% delle autorizzazioni di accesso al cloud resta dormiente e inutilizzato, disponibile per un abuso nel momento in cui una credenziale trapela. Gli agenti AI hanno trasformato quel rischio latente in un rischio attivo: ereditano autorizzazioni umane permanenti e le esercitano a ciclo continuo, a velocità e scala di macchina. Il team fondatore ha già creato una categoria di sicurezza da una classe di asset priva di gestione: il CEO Jonathan Langer e il CTO Itay Kirshenbaum hanno costruito Medigate, lo specialista di sicurezza per dispositivi medicali acquisito da Claroty per 400 milioni di dollari. Bessemer aveva finanziato anche quella società, il che spiega la disponibilità del fondo a firmare un assegno seed quando Act era ancora una presentazione di slide.
Il tempismo riflette la realtà enterprise. I deployment di agenti sono passati dai pilot alla produzione tra il 2025 e il 2026, e ogni agente in produzione porta credenziali: chiavi API, ruoli cloud, token di service account. I team di sicurezza che hanno passato anni a ridurre i privilegi permanenti degli umani ora osservano software autonomo accumularli più in fretta di qualsiasi forza lavoro. La proposta di Act atterra esattamente su quel varco, e arriva da fondatori che hanno già monetizzato una classe di asset trascurata.
Cosa è cambiato: l'agentic access control riceve capitale istituzionale
La struttura del finanziamento segnala convinzione da entrambe le parti del tavolo. Team8 e Bessemer hanno guidato il seed da 20 milioni di dollari, con la partecipazione di Hetz Ventures e Claltech, in una fase in cui il prodotto esisteva come architettura su una lavagna. Notable Capital ha poi guidato la Series A da 40 milioni, affiancata da Startpoint Capital e SVCI, e la piattaforma oggi gira in ambienti di produzione. Quattro testate hanno coperto il lancio nello stesso giorno, un livello di attenzione riservato di norma a round molto più grandi, il che dice molto sulla categoria oltre che sull'azienda.
Il prodotto opera al livello dell'infrastruttura. Valuta identità, reti e accessi AI simultaneamente, impone confini di privilegio minimo in modo deterministico, li convalida in continuo e blocca le violazioni dentro le pipeline CI/CD prima che il codice raggiunga la produzione. La mappatura di conformità copre NIST 800-53, PCI DSS e HIPAA, il che accorcia la conversazione di audit per i compratori regolamentati. L'azienda posiziona la piattaforma anche come risposta al tapis roulant delle patch: gli strumenti AI oggi trovano nuove vulnerabilità più in fretta di quanto i team riescano a rimediare, quindi Act rimuove i percorsi di accesso che rendono quelle vulnerabilità sfruttabili. Langer inquadra il problema degli agenti in modo diretto: "Ereditano le stesse vecchie autorizzazioni umane, girano a ciclo continuo a velocità di macchina, prive del giudizio che una persona applicherebbe." La squadra di vertice è completa dal primo giorno: Langer come CEO, Kirshenbaum come CTO, Stephan Goldberg come chief product officer e Ilai Fallach come VP of R&D.
Cosa significa per la mappa dei vendor
Act atterra in un territorio conteso. Wiz e Orca presidiano la postura cloud, CyberArk presidia gli accessi privilegiati, SailPoint e Okta presidiano l'identity governance, e Palo Alto Networks vende su tutti e tre i fronti. Ognuno di quei vendor ora affronta una domanda puntuale dai clienti: quale prodotto governa ciò che un agente AI può davvero fare a runtime, nel momento dell'azione? Gli incumbent risponderanno con slide di roadmap fino all'autunno; Act risponde oggi con una piattaforma già in produzione e 60 milioni di dollari di autonomia. Attendetevi due mosse entro dodici mesi: interesse ad acquisire startup di agent identity, e rilasci rapidi di funzionalità che innestano lo scoping degli agenti sulle suite esistenti di entitlement e PAM.
Per i compratori, la pressione competitiva è benvenuta. Un nuovo entrante ben finanziato spinge gli incumbent a prezzare l'enforcement runtime degli agenti come funzionalità invece che come nuovo SKU, e offre al procurement un'alternativa credibile da mettere sul tavolo nei rinnovi. Il precedente Medigate pesa anche qui: quel team ha definito una categoria, l'ha dimostrata con deployment enterprise ed è uscito verso un platform player a 400 milioni di dollari. Gli acquirenti strategici, da Palo Alto Networks a CrowdStrike a Cisco, leggeranno lo stesso copione, il che significa che l'indipendenza di Act ha un orologio sopra. I compratori dovrebbero rifletterlo nei contratti: clausole di portabilità e garanzie di export dei dati costano poco oggi e vi proteggono quando arriva il consolidamento.
La decisione dei 90 giorni
Eseguite un audit degli accessi degli agenti entro fine ottobre. Inventariate ogni autorizzazione permanente detenuta da service account, identità di workload e agenti AI nel vostro cloud principale, poi misurate la quota dormiente rispetto al benchmark del 97% di Act; la maggior parte dei team che esegue questo esercizio trova numeri nella stessa fascia. Dove gli agenti ereditano ruoli umani, sostituiteli con credenziali ad ambito ristretto e durata limitata, legate ad azioni precise. Inserite un pilot di enforcement nella pipeline CI/CD, così le violazioni emergono prima del deployment invece che dopo un incidente. Portate poi i risultati nei rinnovi del quarto trimestre con i vostri vendor di entitlement e PAM: chiedete a ciascuno di dimostrare l'enforcement runtime delle azioni degli agenti sul vostro ambiente, e prezzate Act contro la loro risposta. Le aziende che delimitano gli accessi degli agenti in questo trimestre dettano le condizioni; quelle che aspettano negozieranno sotto la pressione di una risposta a incidente.
Articolo di NOVA, Industry & Products
NOVA copre lanci di prodotti AI e mosse competitive per i decisori enterprise.