사이에라, 오아시스 10억 달러에 인수…데이터·AI 신원 통합

기업 내부에 AI 에이전트와 자동화 소프트웨어가 빠르게 늘면서 사이버보안의 보호 대상도 사람에서 ‘비인간 아이덴티티’로 확대되고 있다. API 키와 서비스 계정, 봇, 머신 아이덴티티에 이어 스스로 판단하고 업무를 실행하는 AI 에이전트까지 기업 시스템에 접속하기 시작했기 때문이다.

데이터 보안 기업 사이에라(Cyera)가 비인간 아이덴티티 보안 기업 오아시스 시큐리티(Oasis Security)를 인수한다고 발표했다. 양사는 인수를 위한 의향서(LOI)를 체결했으며 거래 종결 절차를 진행하고 있다.

이스라엘 경제매체 글로브스는 인수 규모가 약 10억 달러라고 보도했다. 현금과 주식을 결합한 거래로 알려졌지만 양사는 공식 발표에서 가격과 지급 조건을 공개하지 않았다. 최종 계약과 선행 조건 충족 등 거래 완료 절차는 남아 있다. 거래가 종결되면 오아시스는 사이에라 내부의 독립 사업부로 운영되며 기존 제품과 고객 지원을 이어갈 예정이다.

사이에라가 오아시스를 인수하는 이유

사이에라는 기업이 보유한 데이터를 찾아내고 민감도를 분류하며, 누가 데이터에 접근할 수 있는지 파악하는 데이터 보안 플랫폼을 제공한다. 데이터가 클라우드와 SaaS, 데이터베이스, AI 시스템 어디에 저장돼 있는지 확인하고 과도한 접근 권한과 외부 노출 위험을 줄이는 것이 핵심이다.

하지만 데이터의 위치와 민감도를 알아도 AI 에이전트와 서비스 계정이 어떤 자격증명을 사용하고, 누가 소유하며, 실제로 어느 데이터까지 접근하는지를 통제하지 못하면 보호 체계에 빈틈이 생긴다.

오아시스는 이 반대편 문제를 해결한다. 기업 내부의 서비스 계정과 API 키, 토큰, 인증서, 봇, AI 에이전트 등 비인간 아이덴티티를 찾아내고 소유자와 권한, 사용 현황을 관리한다. 필요 이상으로 오래 유지되는 자격증명이나 방치된 계정, 과도한 접근 권한도 식별한다.

두 제품을 결합하면 어떤 데이터가 존재하며 얼마나 민감한지, 어떤 사람·머신·AI 에이전트가 접근할 수 있는지, 그 권한은 누가 승인했는지, 에이전트가 수행하려는 작업이 허용 범위인지 한곳에서 판단할 수 있다.

즉 사이에라는 단순히 데이터와 계정의 목록을 합치려는 것이 아니다. AI 에이전트가 요청하는 접근을 데이터의 민감도와 업무 맥락에 따라 실시간으로 허용하거나 제한하는 ‘지속적 신뢰 시스템’을 구축하려 한다.

공격받지 않은 AI 에이전트도 사고 낼 수 있어

기존 보안 제품은 공격자가 계정을 탈취하거나 악성코드를 실행하는 상황을 중심으로 설계됐다. 하지만 AI 에이전트는 해킹되지 않아도 사고를 일으킬 수 있다.

에이전트가 유효한 자격증명과 과도한 권한을 가진 상태에서 잘못된 목표를 전달받거나 문맥을 오해하면 민감한 정보를 외부에 노출하고, 데이터를 삭제하거나 중요한 업무 절차를 중단할 수 있다. 공격자가 개입하지 않았기 때문에 기존 위협 탐지 시스템이 이를 정상 작업으로 판단할 가능성도 있다.

사람은 하나의 접근 결정을 내리는 데 일정한 시간이 걸리지만 AI 에이전트는 수많은 시스템을 밀리초 단위로 호출한다. 사람이 모든 작업을 사전에 승인하는 방식으로는 규모와 속도를 감당하기 어렵다.

사이에라는 지난 6개월 동안 포춘 500대 기업 내부의 비인간 아이덴티티가 약 500% 증가했다고 밝혔다. 다만 구체적인 조사 대상과 산출 방법은 이번 발표에서 공개하지 않았다. 비인간 아이덴티티가 빠르게 늘고 있다는 방향성은 분명하지만 수치는 회사 측 집계로 봐야 한다.

데이터 보안에서 ‘에이전틱 보안’ 플랫폼으로

사이에라는 데이터 보안 태세 관리(DSPM)에서 출발했다. 기업의 데이터 저장 위치와 민감도, 접근 권한을 자동으로 파악하는 시장이다. 이후 데이터 유출방지 기업 트레일 시큐리티(Trail Security)를 1억6,200만 달러에 인수하면서 실시간 데이터 이동 통제 기능을 추가했다.

오아시스 인수는 제품 범위를 데이터에서 아이덴티티까지 넓히는 결정이다. 사이에라는 앞으로 데이터 검색·분류, 데이터 유출방지, 비인간 아이덴티티 관리, AI 에이전트 접근 제어를 하나의 플랫폼으로 제공하려 한다.

예를 들어 재무 AI 에이전트가 고객정보와 결제 데이터에 접근하려 할 때 오아시스의 기술은 해당 에이전트의 신원과 소유자, 자격증명, 권한을 확인한다. 사이에라의 기술은 접근 대상이 개인정보인지, 외부 반출이 제한된 정보인지 판단한다. 통합 플랫폼은 두 정보를 결합해 조회는 허용하되 다운로드와 외부 전송은 차단하는 식으로 정책을 적용할 수 있다.

사이에라는 최근 3억 달러를 추가로 유치하며 기업가치 120억 달러를 인정받았다. 대규모 자금을 자체 성장뿐 아니라 데이터·아이덴티티·AI 에이전트 보안을 아우르는 통합 플랫폼 구축에 투입하는 셈이다.

오아시스, 비인간 아이덴티티 시장 선점

오아시스는 2022년 설립됐으며 비인간 아이덴티티 관리와 에이전틱 접근 제어에 집중해왔다. 회사는 지난 3월 크래프트벤처스와 액셀 등이 참여한 1억2천만 달러 규모의 시리즈B 투자를 유치했다. 누적 투자금은 약 1억9,500만 달러다.

플랫폼은 기업의 클라우드와 SaaS, 코드 저장소, 비밀정보 관리 시스템을 분석해 알려지지 않은 서비스 계정과 API 키를 찾아낸다. 아이덴티티의 실제 소유자를 추정하고 사용하지 않는 자격증명을 제거하거나 짧은 수명의 자격증명으로 교체하는 기능도 제공한다.

AI 에이전트가 증가하면 하나의 에이전트가 여러 시스템의 자격증명을 연쇄적으로 사용할 수 있다. 오아시스는 각 에이전트가 어떤 자격증명을 갖고 무엇에 접근하는지 연결해 보여주고, 작업과 위험 수준에 따라 권한을 동적으로 부여하거나 회수하는 방향으로 제품을 확장하고 있다.

팔로알토·크라우드스트라이크·시스코도 AI 신원 확보 경쟁

사이에라와 오아시스의 결합은 데이터 보안 업체와 아이덴티티 보안 업체의 경쟁 경계를 허문다. 대형 사이버보안 기업들도 AI 시대의 핵심 통제 지점을 신원과 접근 권한으로 보고 인수를 확대하고 있다.

팔로알토네트웍스(Palo Alto Networks)는 사이버아크(CyberArk)를 약 250억 달러에 인수해 사람과 머신, AI 에이전트의 특권 접근을 통합 관리하는 체계를 구축했다. 사이버아크는 앞서 베나피(Venafi)를 인수해 머신 아이덴티티와 인증서 관리 역량을 확보했다.

크라우드스트라이크(CrowdStrike)는 지속적 접근 제어 기업 SGNL을 약 7억4천만 달러에 인수했다. 사용자의 역할과 단말 상태, 위험 신호에 따라 사람과 비인간 아이덴티티의 권한을 실시간으로 부여하고 회수하는 기술을 팔콘 플랫폼에 통합하고 있다.

시스코(Cisco)는 AI 에이전트와 서비스 계정, 외부 애플리케이션 연결을 관리하는 아스트릭스 시큐리티를 약 4억 달러에 인수하는 방안을 추진했다. 아스트릭스는 비인간 아이덴티티가 외부 서비스와 맺는 연결과 권한을 파악하는 데 강점이 있다.

아이덴티티 보안 기업 실버포트(Silverfort)도 사람과 서비스 계정, AI 에이전트에 대한 인증과 위협 탐지 기능을 제공한다. 기존 아이덴티티 인프라를 교체하지 않고도 여러 환경에 정책을 적용하는 접근법을 취한다.

스타트업 중에서는 뉴코어(Nucore)가 AI 에이전트에 독립된 신원을 부여하고 활동과 권한을 관리하는 기술로 6,600만 달러 규모의 시드 투자를 유치했다. 오크(Oak Security)는 AI 에이전트의 생성부터 폐기까지 신원 수명주기를 관리하는 플랫폼으로 6천만 달러를 유치했다.

엔트(Ent)는 신원 자체보다 사용자와 AI 에이전트가 실행하려는 ‘의도’를 작업 직전에 분석하는 방식으로 차별화했다. 엔트는 1억 달러 규모의 시드 투자를 유치하며 AI 에이전트 보안 시장에 진입했다.

승부처는 ‘누가 어떤 데이터에 무엇을 할 수 있는가’

기존 데이터 보안 업체는 어떤 데이터가 위험한지 잘 알지만 그 데이터에 접근하는 모든 머신 아이덴티티를 통제하기 어렵다. 반대로 아이덴티티 보안 업체는 계정과 권한을 파악할 수 있지만 접근 대상 데이터의 민감도와 업무 가치를 충분히 이해하지 못할 수 있다.

사이에라가 오아시스를 인수하는 목적은 이 두 정보 사이의 단절을 없애는 것이다. AI 에이전트의 신원과 권한, 행동을 데이터의 민감도 및 업무 맥락과 결합하면 에이전트가 무엇을 볼 수 있고 어떤 작업을 실행할 수 있는지 실시간으로 결정할 수 있다.

다만 플랫폼을 통합하는 것만으로 문제가 해결되는 것은 아니다. 잘못된 정책이 대규모 에이전트의 정상 업무를 동시에 중단시킬 수 있으며, 하나의 보안 업체에 데이터와 신원 정보가 집중되는 위험도 있다. 에이전트의 행동 의도를 기술적으로 얼마나 정확히 파악할 수 있는지도 아직 검증이 필요한 영역이다.

사이에라가 오아시스의 비인간 아이덴티티 기술을 기존 데이터 보안 플랫폼에 얼마나 빠르게 결합하고, 팔로알토네트웍스와 크라우드스트라이크, 시스코가 구축하는 통합 보안 플랫폼과 차별화할 수 있을지가 관건이다.

사이버보안 스타트업과 AI 보안 시장의 전체 경쟁 구도는 와우테일의 사이버보안 스타트업 지형도 2026에서 확인할 수 있다.