SailPoint 宣布 Entro 整合案 11 月 1 日正式落地，押注「精細化執行階段授權」而非一刀切開關，打造其在代理安全領域的優勢
10 月 14 日 Navigate 分析師說明會後紀要：管理階層詳述自主代理、完成重構的 Atlas 平台與三階段發布時程
SailPoint 於 Navigate 大會後為分析師與股東舉辦的簡報會中指出，身分安全正從「發現」階段轉向「強制執行」階段，而該公司是唯一能同時為人類與 AI 代理（AI agents）實現「最低權限」與「零長期常駐權限（zero standing privilege）」營運平台的供應商。管理階層表示，在 Navigate 與投資人日展示的功能中，約有 80% 將於 11 月 1 日至年底之間全面上市（GA），其餘部分則預計在 2027 年 2 月或 3 月推出。高管們拒絕透露對財務的具體影響。這場電話會議本質上是一場產品導覽，關於競爭獨特性質的說法均為管理階層自身的觀點，並未經過獨立驗證。
發布時程與 Entro 整合
最具體的全新資訊莫過於交付時程。技術長 Chandrasekar Gnanasambandam 表示，產品藍圖分為三個階段。絕大多數（a "good majority"）功能將於第四季起始日的 11 月 1 日全面上市。第二批功能將於 12 月跟進，少數項目則會延后至 2027 年第一季。他估計，「我們所討論的內容中，有 80% 將在 11 月 1 日至年底前推出。」
SailPoint 同時將其整合後的代理產品命名為 SailPoint Agentic Fabric。該產品將納入大約 90 天前併購的 Entro，完整整合後的產品預計於 11 月全面上市。管理階層稱此為「你見過最快的軟體整合之一」。對於一筆如此年輕的交易而言，這個步調相當積極，投資人應密切關注 11 月的期限是否能如期兌現，因為此項整合正是代理端故事的基石。
自主代理：紅、藍、綠三軍
SailPoint 推出了分為三類的自主代理框架。紅色代理（Red agents）具備攻擊性，專門尋找異常現象。Gnanasambandam 舉例說明：當人類擁有者正在度假時，來自 Microsoft Copilot、Salesforce Agentforce 或客戶自建系統的代理，卻觸碰了該人類擁有者從未獲得授權的資料。藍色代理（Blue agents）則具備防禦性。它們會調查紅色代理標記出的問題，並自動阻斷已確認的資安外洩。綠色代理（Green agents）負責處理常規的治理工作。
綠色代理擁有最明確的商業支撐點。大型客戶通常會執行包含 500 萬至 1,000 萬筆資料的憑證審查活動（certification campaigns），而管理階層主張其中 95% 應透過基層政策的治理來實現自動化。SailPoint 表示，他們在 Navigate 大會上簽下了全球最大銀行之一作為設計夥伴，共同打造旨在於 12 月或 1 月交付的綠色審查代理。管理階層指出，其中部分代理將在幾個月內推出。然而，單一設計夥伴與數個月的時程仍僅屬早期佐證，紅、藍代理目前則仍停留在願景階段。
管理階層評估了此問題的規模：一家《財星》全球 2000 大企業（Global 2000）每天會產生 7500 萬至 1.5 億次代理互動，因為每一個代理任務都可能擴散至多個大型語言模型（LLM）、API 與資料庫。Gnanasambandam 表示，在這種規模與拓撲結構下，為人類打造的「零信任（Zero Trust）模型將不再適用」。
競爭論點：授權，而非驗證
投資人提出的最尖銳問題在於：面對已經介入人類存取流量的身分供應商，SailPoint 為何能在執行階段強制執行（runtime enforcement）中勝出？管理階層給出了兩個答案。第一是「情境（context）」。Gnanasambandam 認為，許多供應商宣稱擁有代理終止開關（kill switch），但終止開關必須先知道哪一個代理是有問題的。「這就像給安全警衛一把槍，然後告訴他去射擊壞人。他們必須學會分辨好人和壞人。」SailPoint 表示，他們結合了大約 10 項風險參數，包括政策偏移、數周內的行為模式、代理提示詞（prompts）背後的意圖，以及人類擁有者的風險評估畫像。他指出，「80% 的流量實際上是用於進行所有的分析」，而強制執行只是「最後一哩路」。
第二個答案是「共存」。管理階層將 Okta 與 Microsoft Entra 定位為前門，負責驗證人類與代理的身分並交換權證（tokens）。SailPoint 則在那扇門後方加入了一個政策決策點（policy decision point）。政策決策點會評估具備憑證的身分在當下是否有權存取特定的資料列或欄位。首席產品長 Levent Besik 給了一個類比：存取層只看到一張有效的訪客證，而 SailPoint 則會追問持有這張證的人是否有惡意行為記錄。Gnanasambandam 總結道：「IDP 負責身分驗證（authentication），我們則負責授權（authorization），也就是精細化授權。」
共存的說法既是一種策略，也是一種避險。這等於承認 SailPoint 並未試圖取代 IDP。其市場地位端賴 IDP 不會自行擴展授權深度，而這場電話會議並未提供相關佐證。不過，SailPoint 計畫與 Snowflake、Databricks 及 BigQuery 進行整合，並與資料安全態勢管理（DSPM）及資料遺失防護（DLP）供應商（包括 Cyera、Proofpoint、Varonis 與 Microsoft Purview）合作，以匯入現有的資料分類。
產品展示：發現、終止開關與即時存取
Besik 的展示內容包含一個能盤點代理、未獲許可的 AI 平台、無擁有者代理及非人類身分的控制台。其遙測資料（telemetry）來自數千個連接器、端點感測器、瀏覽器外掛程式，以及 SIEM 和 XDR 饋送資料。在展示中，一個在開發人員筆電上建立的 Cursor 代理，透過一個未獲許可的 MCP 伺服器，掌握了服務帳戶、權證（token），以及對 S3、Figma 和正式環境 SQL 資料庫的存取權。行為監控將其標記為嚴重等級，只需點擊一下即可將其停用。Besik 表示，進行概念驗證（PoC）的客戶通常會對自己擁有的代理與憑證數量「感到驚訝」，因為其數量遠超預期，且有大量憑證處於暴露、閒置或由前員工持有的狀態。他並以在 Slack 頻道中外洩的 AWS 憑證為例說明。
他同時強調了涵蓋 GDPR、HIPAA 及《歐盟人工智慧法案》（EU AI Act）的預建、可排程稽核報告，並表示沒有其他供應商能提供此功能。政策可以做到高度精細，例如阻止代理發送 Slack 訊息，但允許其讀取訊息。管理階層補充，強制執行並不依賴 MCP。端點感測器會直接監控行程，外掛程式則涵蓋 Claude Code、Cursor 和 Codex 等工具。Gnanasambandam 表示，只要有公開的 API，支援一個新的非 MCP 端點代理「大約只需要一週左右的時間」。
Human Fabric 產品副總裁 Dan Martillotti 展示了即時權限（just-in-time privilege）。使用者以自然語言請求薪資存取權限，系統便會推薦角色並進行預先核准。存取權限僅在使用者點擊啟動工作階段時才進行配置，並在工作階段結束時撤銷。審查意見回饋會根據政策護欄（policy guardrails）提供建議決策，例如撤銷 30 天未使用的特權存取。審查人員可以覆寫這些決策。
平台重構與人類端功能增補
管理階層表示，他們已在其核心服務層 Atlas 的四個層級進行了重新架構：將資料模型從純人類升級為人類加 AI；具備風險與意圖引擎的情境與智慧層；政策引擎；以及用於動態配置與 SOC 回應的強制執行層。Atlas 現已可透過外掛程式、應用程式建構器與市集進行擴充。一場黑客松（hackathon）吸引了 250 至 300 名開發人員參與。
在人類端，SailPoint 正在為每個人新增即時風險評分以及「有效權限（effective privilege）」，此功能可捕捉透過群組與角色繼承而來的存取權，而不僅僅是直接授予的權限。Gnanasambandam 稱間接存取為「一個隱藏的問題」，人類速度的攻擊者無法大規模利用它，但機器速度的代理卻可以。該公司亦指出，將拓展新區域、支援歐盟主權雲端（EU sovereign cloud）、取得 FedRAMP High 認證，並推出重新設計、更具行動導向的使用者介面。管理階層坦言，使用者體驗長期以來一直是他們的弱點：「我們的功能其實非常優秀，但使用者體驗確實需要改進。」一位新的設計主管大約在九個月前加入團隊。
舊版 IdentityIQ 基礎與客戶需求
投資人詢問了客群代管產品 IdentityIQ 的安裝基礎。管理階層表示，許多客戶仍留在該平台上，且該平台已進行現代化改造，主要集中在底層網路伺服器與安全性環境。代理產品可以獨立運行，並直接連接 IdentityIQ 以取得人類情境，因此客戶無需進行移轉即可採用。這降低了採用的摩擦，但也意味著代理商機不一定會加速舊有基礎客戶群的雲端移轉。
Gnanasambandam 表示，在 Navigate 大會大約 125 場客戶對話中，主題已從兩個月前的「發現、發現、再發現」，轉變為對發現結果採取行動，客戶紛紛表示自己「被發現結果淹沒了」。第二個主題在過去兩週內激增，圍繞在稽核與合規性上。他指出，這是繼白宮與科技領袖會面以及一項名為「超級智慧協約（Superintelligence Accord）」的行政命令之後產生的現象，而該協約的核心正是當責性（accountability）。管理階層將現況定調為「我們正處於 AGI，或者至少接近 AGI」，這是一項強烈的說法，投資人應將其視為市場定位而非既定事實，且電話會議並未量化任何來自這兩種需求轉變帶來的營收影響。