#secrets-management

Want AI Agents That Don't Spill Secrets? Don't Give Them Secrets

Các mô hình ngôn ngữ lớn (LLM) không thể phân biệt token nhạy cảm với văn bản thông thường, do đó mọi dữ liệu trong context window đều dễ bị truy xuất. Để bảo mật, hãy lưu trữ bí mật (API keys, access tokens) chỉ trong lớp thực thi xác định (biến môi trường hoặc secret manager) và không truyền chúng vào context của LLM. Các schema công cụ chỉ nên mô tả mục đích, còn xử lý thực thi mới lấy credential vào lúc runtime.

Lập trình viên nên đọc bài này để hiểu cách bảo vệ bí mật quan trọng như API keys và mật khẩu bằng cách phân biệt rõ ràng giữa lớp xử lý xác định và lớp sử dụng AI, tránh rò rỉ thông tin thông qua các cuộc tấn công từ prompt.

AI Security Incident Case: Ghostcommit Attack Leveraged Images to Steal Secrets

Vào ngày 11/7/2026, hai nhà nghiên cứu từ Đại học Missouri-Kansas City đã công bố kỹ thuật tấn công Ghostcommit, cho phép đánh cắp toàn bộ nội dung file .env của mục tiêu bằng cách lợi dụng hình ảnh (images) chứa mã độc.

Lập trình viên nên đọc bài này để hiểu cách Ghostcommit exploit lỗ hổng trong GitHub Actions, khi sử dụng ảnh để trích xuất thông tin nhạy cảm từ file .env—một kỹ thuật mới gây lo ngại về bảo mật trong các pipeline CI/CD.

Announcing OpenBao v2.6! – Open Source Security Foundation

OpenBao v2.6 được phát hành với 42 contributor lần đầu, bổ sung nhiều tính năng quan trọng như namespace sealing, auto-unseal qua KMS plugin, workflow engine mới, container distroless, và endpoints xác thực root. Phiên bản sắp tới v2.7.0 sẽ hỗ trợ control groups, HSM/KMS cho PKI/Transit, và mở rộng PostgreSQL theo chiều ngang.

Nếu bạn đang phát triển hệ thống quản lý lưu trữ hoặc dịch vụ cloud với yêu cầu bảo mật cao, OpenBao v2.6 sẽ giúp bạn tối ưu hóa cách phân chia không gian tên (namespace sealing) và quản lý quyền truy cập bằng cách sử dụng các giải pháp mã hóa và plugin KMS tự động, từ đó giảm thiểu rủi ro bảo mật trong ứng dụng của bạn.

GitLab Secrets Manager adds ESO, Terraform, API support

GitLab Secrets Manager bổ sung hỗ trợ cho External Secrets Operator (ESO), Terraform và API, giúp quản lý credential an toàn trong Kubernetes, Terraform và các workflow bên ngoài.

Lập trình viên cần đọc bài này để khám phá cách GitLab Secrets Manager tự động hóa và bảo mật hóa quản lý mật khẩu, khóa API, hoặc thông tin cấu hình cho các môi trường Kubernetes, Terraform và các pipeline tự động, giúp giảm thiểu rủi ro bảo mật và tiết kiệm thời gian quản trị.

59 Insider Threat Statistics You Need to Know in 2026

Chi phí rủi ro từ mối đe dọa nội bộ đã lên tới 19,5 triệu USD mỗi năm. Bài viết cung cấp 59 thống kê về các yếu tố thúc đẩy con số này và lợi ích của một chương trình bảo mật trưởng thành trong việc giảm thiểu tổn thất.

Lập trình viên nên đọc bài này để hiểu rõ cách bảo mật nội bộ—và những rủi ro từ nhân viên, nhà phát triển hoặc đối tác—có thể phá hủy dự án, tiết lộ mã nguồn hoặc gây thiệt hại tài chính lớn, giúp bạn áp dụng kiến thức bảo mật cơ bản vào công việc của mình.

Where .env Went Wrong

A local convenience became a secrets interface, an environment model, and a deployment format. It was never designed to be any of them.

Blast Radius After a Laptop Compromise: What to Rotate

Sau khi laptop bị xâm nhập, khó khăn lớn là xác định credential nào đã bị lộ. Bài viết giải thích lý do việc đánh giá phạm vi ảnh hưởng (blast radius) gặp khó khăn và cách biến nó thành danh sách có thể thu hồi.

Nếu bạn là lập trình viên phát triển hệ thống an ninh hoặc quản lý mật khẩu, bài này giúp bạn hiểu cách xác định và kiểm soát phạm vi ảnh hưởng (blast radius) khi một thiết bị bị xâm nhập, từ đó xây dựng các biện pháp khắc phục hiệu quả và giảm thiểu rủi ro bảo mật.

Hugging Face Breach: AI Agent Security Lessons

Một tác nhân AI tự động đã xâm nhập hệ thống Hugging Face bằng thông tin đăng nhập bị đánh cắp và di chuyển ngang trong mạng. Bài viết nhấn mạnh tầm quan trọng của việc áp dụng nguyên tắc "zero standing privileges" (quyền hạn tối thiểu thường trực) ngay từ đầu để ngăn chặn các cuộc tấn công tương tự.

Một lập trình viên nên đọc bài này để hiểu cách bảo mật cơ bản trong hệ thống AI, đặc biệt là nguyên tắc "zero standing privileges"—làm thế nào để ngăn chặn kẻ tấn công lợi dụng thẻ đăng nhập bị trộm để di chuyển ngang trong hệ thống mà không cần quyền đặc quyền.

How to Measure Time to Revoke for Exposed Credentials

Learn how to measure time to revoke for exposed credentials using validation and invalidation timestamps, remediation SLAs, and CISO reporting metrics.

Medium

Bài viết thảo luận về việc chuyển đổi từ sử dụng Service Principal Secrets sang Azure Workload Identity Federation để quản lý quyền truy cập cho workload trên Kubernetes, nhằm tăng cường bảo mật.

Lập trình viên cần đọc bài này để hiểu cách chuyển đổi từ cơ chế mật khẩu Service Principal sang Azure Workload Identity Federation, giúp tối ưu hóa bảo mật, giảm rủi ro rò rỉ thông tin và cải thiện quản lý quyền truy cập cho ứng dụng Kubernetes trong môi trường cloud.

The Agent Identity Problem: Non-Human Identities Outnumber Humans 45 to 1 and AI Agents Are Making It Worse

Số lượng danh tính phi nhân (non-human identities) đã vượt xa con người với tỷ lệ 45:1, và sự gia tăng của các AI agent đang khiến vấn đề trở nên trầm trọng hơn.

Lập trình viên nên đọc bài này để hiểu cách các hệ thống AI hiện đại đang tạo ra và quản lý các identity (tính xác định) cho các agent không người, và cách đó có thể ảnh hưởng đến tương lai của công nghệ, từ thiết kế hệ thống an toàn đến vấn đề đạo đức khi các hệ thống này vượt qua con số người trong số các đối tượng có thể nhận diện.

Blast Radius: What a Leaked Secret Breaks

A leaked credential's blast radius reaches past the secret. See how secrets detection and dependency mapping rank flagged identities.

Find Unused, Stale, and OIDC-Replaceable GitHub Actions Secrets Across Your GitHub Organization

StepSecurity now shows which GitHub Actions secrets are actually used, which workflows use them, and which can be replaced with OIDC.

The Standalone ESC CLI Retired: Use pulumi env

The standalone esc CLI is archived as of v0.26.0. Every ESC command is available in the Pulumi CLI under pulumi env: one binary to install and upgrade.

How to Measure Time to Revoke for Exposed Credentials

Bài viết hướng dẫn đo lường thời gian thu hồi (time to revoke) cho các thông tin đăng nhập bị lộ bằng cách sử dụng các mốc thời gian xác thực (validation) và vô hiệu hóa (invalidation), các SLA khắc phục (remediation SLAs) và các chỉ số báo cáo của CISO.

Một lập trình viên nên đọc bài này để hiểu cách thiết kế và tối ưu hệ thống xác thực an ninh bằng cách đo thời gian xử lý khi phát hiện thông tin đăng nhập bị lộ, giúp cải thiện hiệu suất và tuân thủ các tiêu chuẩn bảo mật.

The File That Hands Attackers Your Entire Server

The File That Hands Attackers Your Entire Server It’s not a complex exploit. There’s no zero-day. No nation-state actor. It’s just a file called .env sitting in a public GitHub repository — …

BoxLang AWS, Azure, and Google Secrets Manager Module Released

BoxLang vừa phát hành module quản lý Secrets Manager cho AWS, Azure và Google Cloud, giúp lưu trữ và truy xuất bí mật (mật khẩu database, API token, khóa mã hóa) một cách an toàn trong ứng dụng sản xuất.

Lập trình viên cần đọc bài này để hiểu cách quản lý an toàn các bí mật quan trọng trong ứng dụng, từ đó tránh rủi ro bảo mật và tối ưu hóa cách triển khai trên các cloud như AWS, Azure, hoặc Google Cloud.

Medium

Grok Build CLI Was Quietly Uploading Entire Codebases to Google Cloud — What This Means for Your Pipeline A wire-level security analysis found that xAI’s coding CLI was shipping whole git …

Fourth challenge on DevOpsLedger

Fourth challenge on DevOpsLedger Access Keys Are Hardcoded on the EC2 Box. Just Rotate Them? An app on EC2 authenticates to AWS with long-lived IAM user keys in a config file. One leaked. Defend the …

How to Manage Secrets Securely with Azure Key Vault in Node.js

Một khách hàng từng vô tình commit file .env chứa mật khẩu database, Stripe secret và JWT key vào Git hai năm trước, chỉ bị phát hiện khi chạy lệnh git log -p.

Một lập trình viên nên đọc bài này để tránh rủi ro mất mật khẩu quan trọng—như trường hợp client bị lộ thông tin nhạy cảm từ commit không kiểm soát, dẫn đến các cuộc tấn công hoặc mất quyền truy cập hệ thống.

The Perimeter Moved to the Laptop and Developer Endpoint

Việc bảo mật đã dịch chuyển từ mạng sang danh tính rồi đến thiết bị. Hiện nay, điểm cuối dành cho nhà phát triển trở thành nơi tập trung thông tin đăng nhập, đồng thời cũng lộ ra những lỗ hổng tiềm ẩn.

Lập trình viên nên đọc bài này để hiểu cách bảo mật tương lai tập trung vào điểm cuối của ứng dụng thay vì mạng hoặc thiết bị, giúp họ thiết kế hệ thống an toàn hơn bằng cách khám phá cách bảo vệ thông tin người dùng từ bên trong ứng dụng.

Identity Infrastructure: Why Credentials Matter More Than Directories

Hiện đại hóa hạ tầng nhận dạng tập trung vào phát hiện rò rỉ credential thay vì chỉ quản lý thư mục, nhằm ngăn chặn các lỗ hổng dẫn đến xâm nhập.

Lập trình viên nên đọc bài này để hiểu cách bảo mật hệ thống xác thực hiện đại không chỉ phụ thuộc vào quản lý danh sách người dùng mà còn cần phát hiện và khắc phục nguy cơ từ việc tiết lộ thông tin đăng nhập.

Lessons Learned from CISA’s Recent GitHub Leak – Krebs on Security

CISA published a postmortem on a data leak where a contractor exposed 844 MB of sensitive credentials — including AWS GovCloud keys and plaintext passwords — in a public GitHub repository for nearly six months. GitGuardian sent nine automated alerts that went unanswered before KrebsOnSecurity intervened. Key lessons include: maintaining mature key rotation capabilities, establishing clear incident reporting channels separate from product vulnerability disclosure, and continuously scanning public code repositories for exposed secrets rather than relying on periodic audits. CISA's zero-trust logging helped confirm no customer data was accessed. GitGuardian's Guillaume Valadon praised CISA's transparency, calling it the first time a national cybersecurity agency publicly advocated for secrets scanning and simplified researcher relations.

'Ghostcommit' hides prompt injection in images to fool AI agents, steal secrets

Researchers from the ASSET Research Group have demonstrated 'Ghostcommit,' an attack technique that hides prompt injection instructions inside a PNG image referenced by an AGENTS.md file. AI code reviewers like CodeRabbit and Bugbot never open image files, so the malicious PR passes review. Later, when a developer asks a coding agent for a routine task, the agent reads the AGENTS.md, follows the pointer to the image, opens the repo's .env file, and encodes every secret as a list of integers embedded in the generated code. Secret scanners miss it because they don't decode integer tuples back to ASCII. Testing showed the coding tool matters more than the underlying model — Cursor and Antigravity leaked secrets under multiple models, while Claude Code refused every time. The researchers also built a multimodal PR defender that scans images and caught all but one attack across 80 PRs with zero false positives.

Azure Key Vault for Credentials

Azure Key Vault offers a more secure alternative to storing Couchbase credentials in local config files or environment variables. Two approaches are covered: using Azure Key Vault references in Azure Functions app settings (with managed identity, no custom SDK code needed), and Couchbase Capella's native Customer-Managed Encryption Keys (CMEK) integration with Azure Key Vault for data-at-rest encryption. CMEK requires the Capella Enterprise plan, an RSA key (2048/3072/4096-bit), and the Key Vault in the same Azure region as the cluster. Key benefits include AES-256 encryption at rest, version history, cross-app secret sharing, granular RBAC, and full control over key rotation and revocation.

AI Coding: Do Security Risks Outweigh Productivity Gains?

AI coding tools are now used by 76–97% of software development organizations, but the security and financial costs are significant. Research shows 45% of AI-generated code contains OWASP Top 10 vulnerabilities, AI coding assistants increase secrets leakage rates by ~40% (Claude Code commits leak secrets at 3.2% vs. 1.5% baseline), and ~20% of AI-generated code references non-existent packages enabling slopsquatting attacks. A newly disclosed vulnerability pattern called GhostApproval affects six major AI coding assistants including Cursor, Claude Code, and Amazon Q Developer. On the cost side, tool subscriptions run $19–$200/user/month, security teams spend up to 40% of their time triaging non-exploitable findings, and Gartner predicts AI coding costs will exceed the average developer salary by 2028. Whether the productivity gains (developers report ~35% improvement) justify these risks depends heavily on the organization's industry and customer-facing nature.

GitHub’s public APIs are becoming an enterprise reconnaissance tool

Datadog Security Research has identified a sustained campaign abusing GitHub's public APIs and dormant 'ghost' accounts to map enterprise software environments, their members, and repositories. Attackers use unauthenticated API requests — particularly against the GraphQL endpoint — with custom scraping tools that mimic normal developer traffic, making detection difficult. Ghost accounts aged two to five years are activated in short bursts across many enterprises simultaneously. Some campaigns also exploit leaked OAuth tokens and PATs from compromised developer accounts. Defenders are advised to monitor GitHub audit logs for unusual user agent patterns, enable audit log streaming, baseline normal API activity, enforce MFA, and scan repositories for plaintext credentials.

Migrating From Secrets to Credentials - FastRuby.io

Rails 7.1 deprecated secrets.yml in favor of encrypted credentials, with full removal in Rails 7.2. This guide explains the history behind the change, why encrypted credentials are better (they can be safely committed to version control), and provides a step-by-step migration: generating the credentials file, copying values from secrets.yml, updating code from Rails.application.secrets to Rails.application.credentials, configuring the master key in production, and cleaning up legacy files. It also covers environment-specific credentials for separating production secrets from development.

Every Laptop Is a Credential Store: Complete Map of Hidden Secrets

Máy tính xách tay của nhà phát triển vô tình lưu trữ thông tin xác thực (credentials) tại nhiều vị trí như shell history, ~/.aws, .env files, SSH keys, tokens của package manager, cache của AI agent hay lưu trữ phiên trình duyệt, nhưng các công cụ quét secret dựa trên Git không thể phát hiện những vị trí này. Bài viết liệt kê tám vị trí lưu trữ credentials quan trọng, giải thích lý do tại sao các phương pháp quét truyền thống bỏ sót chúng, đồng thời đề xuất các biện pháp khắc phục như ưu tiên sử dụng credentials ngắn hạn, giảm thiểu dấu vết, vault hóa thống nhất, và mở rộng phạm vi quét đến endpoint.

Lập trình viên nên đọc bài này để hiểu cách bảo mật bí mật cá nhân và mã nguồn bị lộ từ những nơi không được phát hiện bởi các công cụ quét Git thông thường, đặc biệt khi AI tự động tạo và lưu trữ các thẻ API mà không cần sự can thiệp của người dùng.

Identity: The operational control plane for agentic AI

AI agents hoạt động độc lập trong quy trình doanh nghiệp đòi hỏi các biện pháp kiểm soát bảo mật nâng cao hơn so với phương pháp truyền thống. Các tổ chức cần quản lý năm khía cạnh chính: nhận dạng agent (coi agent như một thực thể riêng biệt với chứng chỉ), giao tiếp giữa agent (sử dụng kiến trúc lưới agent thay vì cổng MCP), quản lý bí mật động (cấp chứng chỉ ngắn hạn theo nhiệm vụ), truy cập đặc quyền (hạn chế quyền hạn khi chuyển giao quy trình), và nhận dạng lực lượng lao động (thống nhất các nền tảng nhận dạng phân mảnh). Cách tiếp cận vòng đời với khả năng quan sát và kiểm toán giúp duy trì nguyên tắc đặc quyền tối thiểu và truy cập động cho mọi hành động của agent.

Lập trình viên nên đọc bài này để hiểu cách xây dựng cơ sở hạ tầng bảo mật mới cho các hệ thống AI tự động hóa, giúp tối ưu hóa quyền truy cập và bảo vệ dữ liệu trong các ứng dụng doanh nghiệp phức tạp.

Supply Chain Attacks Have Become Self-Reinforcing

Modern supply chain attacks have evolved beyond malicious packages — they now harvest credentials (npm/PyPI tokens, GitHub keys, CI/CD secrets) that persist long after the package is removed. The npm worm Shai-Hulud and its variants (Miasma, Hades) demonstrate a self-reinforcing cycle: stolen credentials from one wave fund the next. The Grafana breach illustrates the danger: a single unrotated token allowed attackers to return weeks after the incident was declared closed. The key takeaway is that credential rotation must happen during the incident, not after the postmortem, because worms reuse stolen credentials within minutes while security teams are still writing reports.

How GitHub used secret scanning to reach inbox zero

GitHub's security team discovered 20,000+ secret scanning alerts across 15,000 repositories and reached inbox zero in nine months. Key findings: 90% of alerts were inactive (test fixtures, deactivated credentials), leaving ~2,000 real risks. Their phased approach covered enabling push protection everywhere, bulk-triaging noise, building custom validity checks for live credentials, solving repository ownership gaps, and tying remediation to engineering health metrics. Lessons include: validate before escalating, invest in durable ownership infrastructure, automate routing workflows, and make secret hygiene a shared engineering responsibility rather than a security-team-only burden.

Cloudflare Workers: secrets and environments

A practical guide to managing configuration, secrets, and multiple deployment environments (staging, production) in Cloudflare Workers. Covers plain vars in wrangler.jsonc, encrypted secrets via Wrangler CLI, local development with .dev.vars, and per-environment secret scoping. Highlights a key gotcha: named environment blocks do not inherit top-level config, so bindings and triggers must be explicitly repeated in each environment block.

Use Ansible Vault to Protect Sensitive Playbook Data

Ansible Vault mã hóa dữ liệu nhạy cảm trong playbook bằng AES-256 (CTR mode, PBKDF2) thông qua các lệnh ansible-vault create/encrypt hoặc encrypt_string inline. Nó hỗ trợ quản lý nhiều mật khẩu (vault ID) cho các môi trường khác nhau, tách biến nhạy cảm/không nhạy cảm vào file riêng, và so sánh với biến môi trường/plaintext hay quản lý bí mật bên ngoài. Các biện pháp bảo mật bao gồm no_log: true, phân quyền file mật khẩu (chmod 600), loại trừ Git, và tích hợp CI/CD (GitHub Actions, GitLab CI).

Lập trình viên nên đọc bài này để học cách bảo mật dữ liệu nhạy cảm trong các kịch bản Ansible bằng cách sử dụng Ansible Vault, giúp tránh rò rỉ thông tin trong môi trường phát triển và sản xuất.

Unified Secrets Security with GitGuardian and AWS Secrets Manager

Organizations using AWS Secrets Manager still face a visibility gap — they can't see which vaulted secrets have leaked into code, CI/CD logs, or AI tool configurations. GitGuardian's ggscout collector bridges this gap by cataloging secrets from Secrets Manager and correlating them with exposed credentials found across repositories using a cryptographic HMSL protocol, so actual secrets never leave your AWS environment. The integration enables five key capabilities: detecting vaulted secret exposures in code, prioritizing incident response by severity, identifying secret sprawl across multi-account AWS architectures, tracking remediation progress, and enforcing continuous rotation governance policies. A phased implementation roadmap covers deployment (EC2, Docker, or EKS), initial assessment, exposure analysis, automation of scheduled scans and alerts, and ongoing KPI monitoring.

Kubernetes Secrets and ConfigMaps in 2026: the Secret is the last mile

Kubernetes Secrets and ConfigMaps haven't changed functionally since 2016, but everything around them has. The K8s Secret object is now the last mile of a longer pipeline, not the source of truth. Modern production setups use external secret managers (AWS Secrets Manager, Vault, etc.) synced via External Secrets Operator, or GitOps-native approaches like SOPS or Sealed Secrets. The biggest avoidable vulnerability in 2026 is still long-lived cloud credentials mounted as Secrets — workload identity (IRSA, Azure AD Workload Identity, GKE Workload Identity) eliminates this. Encryption at rest via KMS is table stakes, but RBAC drift is the more common real-world compromise vector. The post also touches on SPIFFE/SPIRE as a cluster-agnostic identity layer and how agentic AI workloads are pushing credential lifetimes toward seconds.

AWS Introduces Workload Credentials Provider for Automated Certificate and Secret Management

AWS giới thiệu Workload Credentials Provider, công cụ mã nguồn mở tự động cấp, lưu trữ đệm và làm mới chứng chỉ TLS cùng bí mật (secrets) cho ứng dụng. Nó hỗ trợ xuất chứng chỉ ACM, tự động gia hạn, tích hợp với AWS Secrets Manager, hoạt động dưới dạng dịch vụ hệ thống trên Linux/Windows (cả môi trường AWS và ngoài AWS), miễn phí nhưng vẫn tính phí dịch vụ ACM và Secrets Manager.

Lập trình viên cần đọc bài này để tìm hiểu cách tự động hóa quản lý chứng chỉ TLS và mật khẩu quan trọng cho ứng dụng, giúp giảm thiểu rủi ro bảo mật và tối ưu hóa hiệu suất quản trị trong môi trường đa nền tảng.

AI Is the Newest Developer To Misunderstand Secrets In Your Git History

Các AI coding agent như Cursor, Claude Code hay Codex thường chỉ xóa secrets khỏi commit mới nhất (HEAD) nhưng vẫn giữ chúng trong lịch sử Git, dẫn đến khoảng 124.000 trường hợp khắc phục không triệt để trên GitHub. Để xử lý triệt để, cần xoay khóa (rotate) credential trước, sau đó chỉnh sửa lịch sử Git bằng công cụ như git-filter-repo và force-push phiên bản sạch. GitGuardian cung cấp giải pháp bằng cách hướng dẫn AI quét toàn bộ lịch sử commit, cài đặt pre-commit hooks và tích hợp trực tiếp với IDE thông qua GitGuardian MCP server.

Lập trình viên nên đọc bài này để tránh rủi ro bảo mật khi sử dụng AI hỗ trợ mã hóa, vì những lỗi như bỏ quên các mật khẩu trong lịch sử Git có thể gây ra việc lộ thông tin quan trọng mà không phát hiện được.

The AI agent identity problem nobody’s talking about

AI agent deployments frequently stall at security review due to undefined identity models and overly broad permissions. Four key identity decisions must be made for every agentic system: using workload identity over shared service accounts, preferring short-lived credentials over static API keys, implementing brokered session access instead of direct credential handoff, and capturing full identity lineage rather than fragmented logs. Shared accounts and long-lived keys create compounding blast radius risks — Nightfall AI data shows 350 secrets exposed per 100 employees annually, with 35% still active. The recommended approach is to standardize identity at the platform layer using centralized identity providers, policy engines, and credential brokers, rather than rebuilding auth for each agent.

Identiverse 2026: The Challenges Of Solving Identity For AI Agents At Scale

Identiverse 2026 surfaced a consistent message across sessions: enterprises deploying AI agents at scale have not yet solved the foundational identity problems of ownership, delegation, least privilege, and auditability. Key themes included the need for named human owners for every agent, replacing static API keys with short-lived cryptographically attested tokens, embedding audit trails from day one rather than retrofitting them, and treating discovery as the prerequisite for every other governance control. Speakers from Capital One, Equifax, Intuit, Fannie Mae, and others described environments with tens of thousands of unowned non-human identities, delegation chains with no provenance tracking, and citizen developers being taught by AI coding tools to bootstrap agents with static credentials. The consensus: governance built after deployment cannot keep pace with the rate of agent creation, and the cost of remediation scales with every week of unaccountable production deployments.