Okta macht internen KI-Agenten Dex zum Testfeld für Agent-Security

Okta macht internen KI-Agenten Dex zum Testfeld für Agent-Security

Okta setzt seinen internen KI-Agenten Dex nicht nur für den Mitarbeiter-Support ein, sondern auch als Testumgebung für die eigenen Identity-Security-Kontrollen. Der Identity-Anbieter bezeichnet den Einsatz als Customer-Zero-Programm: Das Unternehmen nutzt seine eigenen Systeme im Enterprise-Maßstab und leitet Betriebsreibung an die Engineering-Teams zurück. Dex bearbeitet Anfragen in den Bereichen IT, People, Travel und Expense und dient als gemeinsamer Einstiegspunkt, der spezialisierte Sub-Agenten aufruft. Damit will Okta einen „Swivel-Chair“-Effekt vermeiden, bei dem Mitarbeiter zwischen verschiedenen Agenten wechseln müssen. Die Erprobung unter realen Bedingungen soll die eigenen Kontrollen für autonome Agenten verbessern, bevor sie an Kunden ausgeliefert werden. Die Verantwortung liegt bei Jenna Cline, Senior Vice President of Technology, Data and Intelligence bei Okta. Die Angaben basieren auf internen Unternehmensinformationen und wurden nicht durch externe Prüfungen oder unabhängige Dritte verifiziert.

Dex im Praxiseinsatz: 25 Prozent Adoption und 23.500 Interaktionen in zwei Wochen

Okta meldet für Dex eine Mitarbeiter-Adoption von 25 Prozent in den ersten zwei Wochen. In diesem Zeitraum bearbeitete der Agent über 23.500 Interaktionen. Das Vorjahresziel von 250.000 eingesparten Mitarbeiterstunden wurde nach Angaben des Unternehmens übertroffen. Für dieses Jahr hat Okta das Ziel auf 1 Million Stunden erhöht. Jenna Cline erklärt, dass etwa ein Monat pro Mitarbeiter dieser Zielmarke entspricht. Die Einsparungen umfassen sowohl KI-gestützte Prozesse als auch deterministische Workflows, die in die Systeme integriert wurden. Die Zahlen stammen aus einem Unternehmensbeitrag vom 17. September und basieren auf internen Angaben; eine unabhängige Prüfung durch Dritte liegt nicht vor. Sie dokumentieren jedoch den Umfang, in dem Dex als interner Testfall für die Identity-Security-Kontrollen dient, die Okta auch Kunden anbietet. Die Kombination aus hoher Adoption und vielen Interaktionen schafft eine reale Testumgebung, in der sich die Kontrollen unter Last bewähren müssen.

Die Sicherheitsarchitektur: Agent Gateway, Kill Switch und Blueprint Alliance

Okta hat mehrere Kontrollen eingeführt, die durch Dex getestet werden. Das AI-Agent-Runtime-Gateway sitzt inline zwischen einem KI-Agenten und den von ihm aufgerufenen Tools. Es protokolliert jede Interaktion und setzt Laufzeit-Autorisierungsentscheidungen durch. Damit wechselt Okta von der reinen Zugangsentscheidung zur Überwachung dessen, was Agenten nach dem Zugriff tatsächlich tun. Der Kill Switch für AI-Agenten wurde erweitert: Bis Ende 2026 soll das Gateway alle aktiven Token eines Agenten sofort widerrufen und dessen Ressourcenzugriff kappen können, sobald eine Anomalie erkannt wird. Ergänzend hat Okta die Blueprint Alliance gestartet, eine Multi-Vendor-Referenzarchitektur für Agent-Runtime-Security. Gründungsmitglieder sind unter anderem AWS, CrowdStrike, Databricks, Docker, Google Cloud, Proofpoint, Salesforce, ServiceNow, Wiz und Zscaler. Die Architektur gliedert sich entlang von vier Fragen: Wo sind meine Agenten? Was können sie tun? Was tun sie gerade? Wie reagiere ich? Zusätzlich hat Okta neue Plattform-Fähigkeiten angekündigt, die eine einheitliche Identity-Security-Fabric für menschliche und nicht-menschliche Identitäten schaffen. Dazu gehören unter anderem erweiterte Token-Kontrolle, Auditing und eine Policy-Engine, die die Verwaltung und Absicherung von Agenten, API-Keys und Service-Konten vereinheitlichen. Diese Fähigkeiten adressieren die spezifischen Risiken nicht-menschlicher Identitäten wie fehlende Multi-Faktor-Authentifizierung, statische Credentials und übermäßige Privilegien, die Angreifern eine große Angriffsfläche bieten. Die Übernahme von Permiso Security ergänzt Detection-Fähigkeiten im Bereich Agent-Security. Dex dient als interner Testfall für genau diese Kontrollen.

Marktkontext: Agenten boomen, Governance hinkt hinterher

Die Relevanz von Oktas Ansatz zeigt sich in den Prognosen zur Agenten-Nutzung. Deloitte prognostiziert, dass bis 2027 die Hälfte aller GenAI-nutzenden Unternehmen Agenten einsetzen wird. Laut dem Deloitte 2026 State of AI Report nennen 73 Prozent der befragten Führungskräfte Datenschutz und Sicherheit als Top-AI-Risiko. Nur 21 Prozent verfügen über ein ausgereiftes Governance-Modell für autonome Agenten. Gartner prognostiziert, dass ein durchschnittliches Fortune-500-Unternehmen bis 2028 mehr als 150.000 Agenten im Einsatz haben wird. Nur 13 Prozent der Organisationen verfügen nach eigener Einschätzung über eine geeignete Governance für KI-Agenten. Diese Zahlen zeigen eine deutliche Lücke zwischen der schnellen Verbreitung von Agenten und den vorhandenen Kontrollmechanismen. Okta positioniert seine Identity- und Authorization-Funktionen als „Operating System for Autonomous Trust“ – nicht als zusätzliche Sicherheitsschicht, sondern als grundlegende Architektur. Der interne Test mit Dex soll zeigen, dass diese Kontrollen unter realen Bedingungen eingesetzt werden können, bevor Unternehmen sie in großem Maßstab übernehmen.

Customer Zero als Strategie: Warum Okta auf interne Erprobung setzt

Der Customer-Zero-Ansatz hat für Okta mehrere Funktionen. Intern erzeugt Dex messbare Effizienzgewinne: Das Unternehmen übertraf das Vorjahresziel von 250.000 eingesparten Mitarbeiterstunden und setzt für dieses Jahr ein Ziel von 1 Million Stunden. Diese Einsparungen dienen als Grundlage für die Priorisierung von Technologieinvestitionen. Gleichzeitig dient der reale Betrieb als Produktverbesserung: Betriebsreibung fließt direkt an die Engineering-Teams zurück, die die Identity-Security-Kontrollen weiterentwickeln. Die Übernahme von Permiso Security ergänzt diese Strategie um Detection-Fähigkeiten, die ebenfalls im internen Testfeld erprobt werden können. Okta positioniert sich damit als Identity-Partner für autonomes Vertrauen. Diese Rolle ist für Kunden von Bedeutung, weil ohne zentrale Steuerung von Agent-Identitäten fragmentierte Zugriffsrechte, unkontrollierte OAuth-Tokens und hohe Sicherheitsrisiken drohen. Die internen Tests mit Dex – 25 Prozent Adoption und 23.500 Interaktionen in zwei Wochen – dokumentieren den Umfang der internen Erprobung. Ob diese Nutzungszahlen die Funktionsfähigkeit der Kontrollen belegen, lässt sich aus den vorliegenden Daten allein nicht ableiten; sie zeigen jedoch, dass die Kontrollen unter realen Bedingungen eingesetzt werden und Betriebsreibung an die Engineering-Teams zurückfließt. Die Zahlen basieren auf internen Angaben und wurden nicht extern verifiziert. Der Ansatz ist Teil einer breiteren Strategie, Identity und Authorization als zentrale Kontrollebene für Agenten zu etablieren, nicht als nachträgliche Sicherheitsschicht.