US$500 millones en efectivo, más pagos extra atados a metas. Esa es la oferta que Palo Alto Networks negocia por Clutch Security, la empresa israelí que rastrea las claves y los tokens con los que los agentes de IA entran a los sistemas de una compañía. TechCrunch dio a conocer las conversaciones el 5 de noviembre, con datos de una fuente cercana, y The Information había informado primero del contacto entre las dos partes. Ninguna de las dos empresas quiso comentar el reporte.
El interés tiene un motivo medible. Dentro de una empresa ya no entran solo personas con usuario y contraseña: entran aplicaciones, servicios automatizados y agentes que consultan bases de datos y tocan cuentas en la nube. Cada acceso de esos usa una identidad no humana, el nombre técnico de las llaves que pertenecen a un programa y no a una persona: claves API (las credenciales que una aplicación presenta ante otra), tokens, certificados y cuentas de servicio. Palo Alto Networks contó en un estudio propio de 2026 que ya existen 109 identidades de máquina y de IA por cada identidad humana. Buena parte nadie las registró, nadie sabe quién las creó y muchas siguen válidas años después.
Un mapa de llaves que nadie registró
Clutch vende ese inventario. Su plataforma cubre entornos en la nube, aplicaciones de suscripción y sistemas instalados en los servidores de cada cliente. Para cada credencial guarda una ficha que llama Identity Lineage: de dónde salió la llave, qué personas aparecen ligadas a ella, dónde quedó almacenada, qué sistemas la usan y a qué recursos alcanza. Con ese mapa ordena el riesgo de cada llave, administra su ciclo de vida y detecta usos raros. La pieza que conecta con los agentes está en el origen de las credenciales nuevas. Un programador pega una clave en el archivo de configuración de su asistente de código, un equipo conecta un agente a una aplicación comercial con un token personal, y esa llave nace fuera de la bóveda donde la empresa guarda sus secretos registrados. Una bóveda administra lo que los equipos decidieron anotar; Clutch promete visibilidad sobre el resto.
El riesgo de una llave suelta no es teórico. Las claves API expuestas en la brecha de OpenCode mostraron en octubre lo rápido que una credencial olvidada se convierte en puerta de entrada. Con los agentes el daño tiene una vuelta extra: el agente actúa con la autorización de la llave que porta, así que una clave robada no abre una sola aplicación, abre todo lo que ese agente tenía permiso de tocar. Por eso la primera pregunta en un incidente con agentes es tan corta: qué llave usó y quién responde por ella.
La empresa detrás del mapa es joven y pequeña frente a la cifra que se negocia. Clutch arrancó a finales de 2023 en Israel, fundada por Ofir Har-Chen, Sagi Haas y Tal Kimhi. Levantó US$8,5 millones de semilla de Lightspeed Venture Partners y cerró en enero de 2025 una ronda A de US$20 millones de Lightspeed y SignalFire, con una valoración de US$85 millones. TechCrunch reportó que sus ingresos anuales recurrentes se acercan a US$10 millones, y la cuenta sale sola: US$500 millones son unas 50 veces esos ingresos. El múltiplo alto no es un caso aislado: Upwind, una firma que usa IA para proteger infraestructura en la nube, rechazó hace poco una oferta de Datadog que la valoraba en torno a 40 veces sus ingresos recurrentes.
La séptima compra en un año de compras
Palo Alto Networks viene comprando esta capacidad pieza a pieza. PitchBook cuenta que, de cerrarse, Clutch sería su séptima adquisición del año. En septiembre compró Console, una empresa de dos años que usa agentes de IA para automatizar tareas de soporte técnico, por US$500 millones entre acciones y efectivo. El mismo ciclo incluye a Embrace por US$325 millones, Chronosphere por US$2.950 millones y Koi por US$231 millones, cifras de sus registros regulatorios. La compra mayor del periodo es de identidad pura: CyberArk, el referente en acceso privilegiado, por US$25.000 millones, cerrada en febrero de 2026. De esa base salió Idira, lanzada el 12 de mayo, que extiende la tecnología de CyberArk a las identidades de máquina y de agentes. Clutch entraría por el otro extremo: Idira administra los accesos gobernados, y Clutch localiza los que quedaron fuera del registro.
Los rivales se mueven en la misma dirección y con cheques parecidos. Cyera, valorada en US$12.000 millones este año, compró Oasis Security por US$1.000 millones, otra firma dedicada a administrar el acceso de los agentes. Cisco pagó en torno a US$400 millones por Astrix, respaldada por Menlo Ventures, que protege las claves API, los tokens de OAuth y las cuentas de servicio que usan los agentes. Tres compradores grandes y precios entre US$400 y US$1.000 millones: el mercado ya puso precio a saber quién tiene cada llave.
La negociación, eso sí, no es un hecho cerrado. El acuerdo no está firmado, los términos pueden cambiar y Palo Alto Networks respondió a The Information que no comenta rumores. Un precedente cercano ayuda a leer la cifra con calma: de Koi se publicaron primero unos US$400 millones y el registro posterior fijó la contraprestación en US$231 millones. Si la firma llega, el documento oficial dirá cuánto es efectivo inmediato y cuánto depende de metas.
Fuente: TechCrunch
