2026-10-24

Resilience & Cyber-Security

prompt injection, data poisoning, agent abuse, adversarial-aware defense, non-human identity

1. Storm-0940 déploie des agents IA offensifs contre 2 250 tenants Microsoft 365 — premier usage documenté de l'IA agentique dans une campagne d'État

— Microsoft Threat Intelligence + The Hacker News, 21-22 octobre 2026

L'Insight : Microsoft a révélé le 21 octobre que Storm-0940, un acteur aligné sur la Chine, a utilisé ARTEX — un framework d'IA agentique offensif — pour lancer un password spray à 2 900 tentatives par minute contre 2 250 tenants Microsoft 365, compromettant 327 comptes dans huit organisations entre le 10 et le 14 octobre. Dans certains cas, l'agent est passé du ciblage à l'accès privilégié au cloud en moins de trois heures, via une chaîne d'approvisionnement ConnectWise préalablement compromise.

Le vecteur : Storm-0940 a exploité une compromission préalable de la chaîne ConnectWise pour obtenir des credentials d'application, puis a déployé ARTEX pour automatiser le password spray inter-tenants et la modification de credentials applicatifs à une vitesse inaccessible pour un opérateur humain. Les modifications apportées par les agents persistent comme backdoors dans les environnements ciblés même après remédiation de l'application compromise initiale. MITRE ATLAS AML.T0040 (ML Attack Staging).
La surface exposée : Toute organisation utilisant ConnectWise comme MSP ou outil d'accès à distance, particulièrement les tenants Microsoft 365 et Exchange Online non protégés par des politiques résistantes aux password sprays. La vitesse d'exécution (< 3h de la sélection de cible à l'accès privilégié) dépasse les cycles de détection SOC conventionnels, qui reposent sur des corrélations d'événements sur 24-72h.
La mitigation : Activer Microsoft Entra ID Protection et les politiques d'accès conditionnel avec résistance aux password sprays ; auditer tous les accès applicatifs ConnectWise et rotater les credentials ; appliquer le principe de moindre privilège sur les comptes de service (NHI). Traiter toute activité inhabituelle dans un tenant géré par MSP comme un compromis potentiel jusqu'à infirmation.

Lecture du consultant : ARTEX marque une bascule qualitative : pour la première fois, un acteur étatique documente publiquement l'usage d'agents IA autonomes non pas pour la reconnaissance, mais pour l'exécution à grande échelle d'une campagne d'intrusion. La vitesse d'exécution (2 900 tentatives/minute, accès privilégié en < 3h) efface le principal avantage défensif des équipes SOC : le temps de réaction. Les organisations qui structurent leur détection sur des seuils de volume ou des fenêtres d'analyse longues doivent recalibrer leurs règles de détection immédiatement.

Risque / Limite : Le rapport provient de Microsoft Threat Intelligence — Microsoft est simultanément la cible principale et le vendeur des solutions de remédiation recommandées (Entra ID, Defender). La désignation « Storm-0940 / acteur lié à la Chine » n'a pas été confirmée par des sources indépendantes dans les 48h disponibles. Les chiffres précis (327 comptes, 2 250 tenants) sont déclarés par Microsoft sans vérification tierce.

Lien : microsoft.com Date de publication : 21 octobre 2026 Fraîcheur : 🟢 <7j Fiabilité de la source : probable Cadre d'analyse : menace cyber / incident

2. La chaîne d'approvisionnement IA se fracture une deuxième fois : LiteLLM 1.107.0 distribue un voleur de secrets à 49 000 téléchargeurs en 104 minutes

— The Hacker News + Help Net Security, 22 octobre 2026

L'Insight : Le 21 octobre, des attaquants ont compromis trois comptes GitHub de mainteneurs LiteLLM via des tokens OAuth volés pour publier des wheels PyPI et images Docker trojanisés pendant 104 minutes — téléchargés 49 000 fois par des organisations incluant NVIDIA, Netflix, AT&T et Okta. La charge s'exécute à chaque démarrage d'interpréteur Python, même sans import explicite, et exfiltre l'ensemble des secrets cloud (AWS, Azure, GCP), clés SSH et tokens d'API d'IA.

Le vecteur : Tokens GitHub CLI OAuth volés → détournement du pipeline de release → wheels PyPI + images Docker malveillants (LiteLLM 1.107.0) ; les Python startup hooks garantissent l'exécution sur tout hôte ayant téléchargé le package, y compris les pipelines CI/CD. Second incident LiteLLM de l'année après la campagne TeamPCP de mars 2026, qui avait exposé 430 000 pipelines CI/CD. MITRE ATLAS AML.T0010 (ML Supply Chain Compromise) ; OWASP LLM04 (Supply Chain).
La surface exposée : Toute organisation ayant mis à jour LiteLLM entre 11h39 et 14h20 UTC le 21 octobre, incluant des clients confirmés parmi les plus grands opérateurs d'inférence mondiaux. Chaque hôte concerné a potentiellement exfiltré l'intégralité de ses secrets d'environnement : clés cloud, tokens d'IA, bases de données proxy LiteLLM. Les pipelines CI/CD qui exécutent LiteLLM en tests d'intégration sont exposés même sans déploiement en production.
La mitigation : Rotation immédiate de tous les secrets sur les hôtes affectés ; mise à jour vers ≥ 1.107.1 (PyPI et Docker) ; audit des pipelines CI/CD pour détecter des tokens OAuth GitHub compromis ; adoption de la vérification par signature cryptographique (sigstore/cosign) et de l'épinglage de hash pour toutes les dépendances d'infrastructure IA.

Lecture du consultant : LiteLLM est devenu une couche d'abstraction critique pour les équipes qui routent des appels multi-modèles — ce qui en fait un multiplicateur d'exposition idéal. Deux compromissions en huit mois ne sont pas une anomalie statistique : elles révèlent une dette de sécurité structurelle autour des mainteneurs open-source qui gèrent de facto des dépendances à fort impact. Les RSSI doivent traiter les wrappers d'API d'IA avec la même rigueur que les composants système critiques — y compris l'exigence de MFA matériel et d'approbation multi-parties pour les releases.

Risque / Limite : Les chiffres d'impact (49 000 téléchargements, 2 500+ organisations) proviennent de Socket, Aikido et JFrog — des éditeurs de sécurité de la chaîne logicielle avec un intérêt commercial à maximiser la visibilité de l'incident. Le nombre réel d'organisations ayant exécuté le package malveillant (vs. téléchargé sans exécuter) reste inconnu.

Lien : thehackernews.com Date de publication : 22 octobre 2026 Fraîcheur : 🟢 <7j Fiabilité de la source : confirmé Cadre d'analyse : menace cyber / incident

3. OWASP intègre pour la première fois des données d'incidents réels dans son Top 10 LLM 2026 — « Excessive Agency » grimpe de la 6e à la 3e place, révélant deux ans de décalage entre théorie et production

— OWASP GenAI Security Project, 4 août 2026

L'Insight : La liste OWASP Top 10 for LLM Applications 2026, publiée le 4 août, est la première à combiner 25 % de données d'incidents réels (6 639 vulnérabilités documentées) avec 75 % de vote expert — un changement méthodologique qui a immédiatement reconfiguré le classement. « Excessive Agency » (agents dotés de capacités d'action irréversible) est passé de la 6e à la 3e place, confirmant que les risques agentiques avaient été systématiquement sous-estimés par l'opinion d'experts seule pendant deux ans.

Le chiffre : 6 639 vulnérabilités réelles ont alimenté la pondération à 25 % — première calibration empirique d'un référentiel de sécurité LLM depuis sa création en 2023. Supply Chain (LLM04) et Data/Model Poisoning (LLM05) progressent également, en cohérence directe avec les deux incidents 🟢 de cette semaine.
Ce qu'il contredit : Pendant deux ans, la communauté d'experts avait placé « Excessive Agency » en 6e position, considérant l'injection de prompt et la divulgation d'informations comme les risques prioritaires. Les incidents de production montrent que les agents autonomes capables d'actions irréversibles produisent un impact opérationnel plus sévère — ce que Storm-0940/ARTEX (2 900 tentatives/minute, accès privilégié en < 3h) et LiteLLM (startup hook d'exfiltration irréversible) illustrent directement cette semaine.
Ce qu'il ne dit pas : La pondération 75 % expert / 25 % incident reste biaisée vers les menaces connues et bien documentées. Les Non-Human Identities (NHI) — absentes comme catégorie explicite — et les vecteurs via MCP (Model Context Protocol) et architectures agent mesh restent sous-représentés dans les bases d'incidents actuelles, pouvant retarder leur intégration dans les prochaines éditions.

Lecture du consultant : L'introduction de données d'incidents est la bonne direction méthodologique, mais elle introduit un décalage temporel structurel : les vulnérabilités en base sont celles déjà exploitées et signalées — un biais vers le passé dans un domaine qui évolue plus vite que ses référentiels. Pour un RSSI, l'utilité pratique du Top 10 2026 est double : valider les priorités actuelles (prompt injection, supply chain, excessive agency) et utiliser les blancs du classement comme signal prospectif sur les risques émergents non encore documentés en incident.

Risque / Limite : OWASP est une organisation sans but lucratif, mais le projet est sponsorisé par des éditeurs de sécurité IA (AWS, Google, Microsoft entre autres) susceptibles d'influencer la pondération des catégories qui avantagent leurs offres de remédiation. La base des 6 639 vulnérabilités n'est pas publiquement accessible pour audit indépendant.

Lien : cybersecuritynews.com Date de publication : 4 août 2026 Fraîcheur : ⚪ rapport de fond — classifie directement les deux incidents 🟢 de la semaine (LLM04 Supply Chain, LLM03 Excessive Agency, LLM01 Prompt Injection) Fiabilité de la source : confirmé Cadre d'analyse : donnée / benchmark

4. 97 % des identités non-humaines portent des droits excessifs — la gouvernance NHI est le borgne structurel de la sécurité agentique en 2026

— CSA Non-Human Identity Governance Vacuum (whitepaper) + données Sophos 2026, mai 2026

L'Insight : Selon le livre blanc de la Cloud Security Alliance publié en mai 2026, le ratio NHI/identités humaines atteint déjà 100:1 dans les grandes entreprises, 97 % des NHI portent des droits excessifs par rapport à leur fonction réelle, et seules 15 % des organisations se déclarent capables de prévenir une attaque basée sur les NHI. Le dwell time moyen après compromission d'une NHI est de 200 jours — trois fois celui d'un compte humain compromis.

Aujourd'hui : Les deux incidents 🟢 de la semaine en sont des illustrations directes : les tokens OAuth mainteneurs LiteLLM (NHI) avaient des droits de publication PyPI sans approbation multi-parties ; les credentials applicatifs ConnectWise exploités par Storm-0940 avaient des droits inter-tenants jamais audités. Selon les données Sophos 2026, les failles NHI constituent le vecteur initial dans 41 % des brèches d'identité réussies.
Trajectoire (12-24 mois) : La multiplication des agents IA en production (chaque agent génère une ou plusieurs NHI — token, clé API, client OAuth) va faire exploser cette surface bien avant que les pratiques de gouvernance ne mûrissent. CSA projette que le ratio NHI/humain dépassera 1 000:1 dans les grandes entreprises d'ici fin 2027, sans précédent dans l'histoire de la gestion des identités.
Condition de bascule : Un incident public majeur attribué explicitement à une NHI d'agent IA compromis — ou l'adoption d'un standard de cycle de vie NHI (OAuth 2.1 Dynamic Client Registration + NIST AI RMF) — forcera une réponse réglementaire analogue à celle déclenchée par Log4Shell sur la sécurité des composants open-source.

Lecture du consultant : La NHI n'est pas un problème futur : les deux incidents de cette semaine le démontrent. Ce qui manque n'est pas la conscience du risque (71 % des organisations ont subi une brèche liée à des failles d'identité en 2026), mais les outils et processus pour inventorier, rotater et révoquer les identités non-humaines avec la même rigueur que les comptes humains. Une mission dans ce domaine commence par l'inventaire — et la plupart des organisations n'en ont pas.

Risque / Limite : Le whitepaper CSA date de mai 2026, avant la vague de déploiements d'agents IA de l'été. Les statistiques (97 %, 100:1) combinent enquêtes auto-déclarées et analyses de clients de vendors NHI, introduisant un biais de sélection. La notion de « non-human identity » reste hétérogène dans l'industrie : tokens API, certificats mTLS, comptes de service, workload identities et agents IA n'ont pas le même profil de risque.

Lien : labs.cloudsecurityalliance.org Date de publication : mai 2026 Fraîcheur : ⚪ rapport de fond — cause structurelle racine reliant les deux incidents 🟢 (tokens OAuth mainteneurs volés, credentials de service inter-tenants non audités) Fiabilité de la source : probable Cadre d'analyse : signal faible

Signaux stratégiques de la semaine

L'IA offensive franchit un seuil en production : Storm-0940/ARTEX est le premier cas publiquement documenté d'un acteur étatique utilisant des agents IA autonomes pour exécuter — et non préparer — une campagne d'intrusion à grande échelle. La vitesse d'exécution (< 3h de la sélection à l'accès privilégié) redéfinit les exigences de détection SOC : les corrélations sur 24-72h deviennent structurellement insuffisantes.
L'infrastructure IA devient la surface d'attaque prioritaire : LiteLLM (deux fois en huit mois), ConnectWise, et les CVE CVSS 9,9 de Semantic Kernel (mai 2026) révèlent que les couches d'abstraction et frameworks d'orchestration d'agents accumulent une dette de sécurité critique avant même d'être traités comme des composants d'infrastructure au sens classique du terme.
⚖️ Ce qui contredit le consensus : Le récit dominant place l'injection de prompt (OWASP LLM01) au sommet du risque IA. Les deux incidents majeurs de la semaine contredisent cette priorité : le vecteur d'entrée initial n'était pas du prompt injection, mais du vol de credentials classique (tokens OAuth mainteneurs, password spray automatisé). L'IA n'a fait qu'accélérer et amplifier l'exploitation après l'accès initial — ce qui suggère que les défenses les plus urgentes restent l'hygiène d'identité (rotation, MFA matériel, moindre privilège sur les NHI) avant les contrôles spécifiques à l'IA.

1. Storm-0940 deploys offensive AI agents against 2,250 Microsoft 365 tenants — first documented state-level use of agentic AI in an intrusion campaign

— Microsoft Threat Intelligence + The Hacker News, October 21–22, 2026

The Insight: On October 21, Microsoft disclosed that Storm-0940, a China state-aligned threat actor, used ARTEX — an agentic AI offensive framework — to launch password sprays at 2,900 sign-in attempts per minute against 2,250 Microsoft 365 tenants, compromising 327 accounts across eight organizations between October 10–14. In some cases, the agent moved from target selection to privileged cloud access in under three hours, via a ConnectWise supply chain compromise used as the initial access vector.

The vector: Storm-0940 leveraged a prior ConnectWise supply chain compromise to obtain application credentials, then deployed ARTEX to automate cross-tenant password spray and application credential modification at a speed unreachable by human operators. Credential modifications made by the agents persist as backdoors in victim environments even after the original compromised application is remediated. MITRE ATLAS AML.T0040 (ML Attack Staging).
The exposed surface: Any organization using ConnectWise as an MSP or remote access tool, particularly Microsoft 365 and Exchange Online tenants without password-spray-resistant access policies. Execution speed (< 3 hours from target selection to privileged access) outpaces conventional SOC detection cycles, which rely on 24–72-hour event correlation windows.
The mitigation: Enable Microsoft Entra ID Protection and conditional access policies with password-spray resistance; audit all ConnectWise application access and rotate credentials; apply least privilege to service accounts (NHI). Treat any anomalous activity in a managed MSP tenant as a potential compromise until ruled out.

Consultant's reading: ARTEX marks a qualitative shift: for the first time, a state actor has publicly documented using autonomous AI agents not for reconnaissance but for large-scale intrusion execution. The speed advantage (2,900 attempts/minute, privileged access in < 3 hours) eliminates the primary defensive advantage SOC teams rely on: reaction time. Organizations structuring their detection on volume thresholds or long analysis windows must recalibrate detection rules immediately.

Risk/Limitation: The report originates from Microsoft Threat Intelligence — Microsoft is simultaneously the primary target and the vendor of recommended remediation tools (Entra ID, Defender). The "Storm-0940 / China-aligned" attribution has not been independently confirmed within the 48 hours available. Precise figures (327 accounts, 2,250 tenants) are Microsoft-declared without third-party verification.

Link: microsoft.com Publication date: October 21, 2026 Freshness: 🟢 <7d Source reliability: probable Analytical frame: cyber threat / incident

2. The AI supply chain fractures a second time: LiteLLM 1.107.0 delivers a credential stealer to 49,000 downloaders in 104 minutes

— The Hacker News + Help Net Security, October 22, 2026

The Insight: On October 21, attackers compromised three LiteLLM GitHub maintainer accounts via stolen OAuth tokens to publish trojanized PyPI wheels and Docker images for 104 minutes — downloaded 49,000 times by organizations including NVIDIA, Netflix, AT&T, and Okta. The payload executes at Python interpreter startup even without an explicit import and exfiltrates all cloud secrets (AWS, Azure, GCP), SSH keys, and AI API tokens.

The vector: Stolen GitHub CLI OAuth tokens → hijacked release pipeline → trojanized PyPI wheels + Docker images (LiteLLM 1.107.0); Python startup hooks guarantee payload execution on any host that ran the package, including CI/CD pipelines. The second LiteLLM incident this year after the March 2026 TeamPCP campaign, which exposed over 430,000 CI/CD pipelines. MITRE ATLAS AML.T0010 (ML Supply Chain Compromise); OWASP LLM04 (Supply Chain).
The exposed surface: Any organization that updated LiteLLM between 11:39 and 14:20 UTC on October 21 — including confirmed users among the world's largest inference operators. Every affected host potentially exfiltrated its full set of environment secrets: cloud credentials, AI tokens, LiteLLM proxy databases. CI/CD pipelines running LiteLLM in integration testing are exposed even without production deployment.
The mitigation: Immediately rotate all secrets on affected hosts; update to ≥ 1.107.1 (PyPI and Docker); audit CI/CD pipelines for compromised GitHub OAuth tokens; adopt cryptographic signature verification (sigstore/cosign) and hash pinning for all AI infrastructure dependencies.

Consultant's reading: LiteLLM has become critical infrastructure for teams routing multi-model calls — making it an ideal exposure multiplier. Two compromises in eight months are not a statistical anomaly: they reveal a structural security debt around open-source maintainers who de facto manage high-impact dependencies. CISOs must treat AI API wrappers with the same rigor as critical system components — including hardware MFA requirements and multi-party approval gates for releases.

Risk/Limitation: Impact figures (49,000 downloads, 2,500+ organizations) come from Socket, Aikido, and JFrog — supply-chain security vendors with a commercial interest in maximizing incident visibility. The actual number of organizations that executed (vs. merely downloaded) the malicious package remains unknown.

Link: thehackernews.com Publication date: October 22, 2026 Freshness: 🟢 <7d Source reliability: confirmed Analytical frame: cyber threat / incident

3. OWASP integrates real incident data into the 2026 LLM Top 10 for the first time — "Excessive Agency" jumps from 6th to 3rd, exposing two years of gap between expert theory and production reality

— OWASP GenAI Security Project, August 4, 2026

The Insight: The OWASP Top 10 for LLM Applications 2026, published August 4, is the first edition to blend 25% real incident data (6,639 documented vulnerabilities) with 75% expert vote — a methodological shift that immediately reshuffled the ranking. "Excessive Agency" (agents with irreversible action capabilities) moved from 6th to 3rd place, confirming that agentic risks were systematically underestimated by expert consensus alone for two years.

The figure: 6,639 real-world vulnerabilities fed the 25% incident weighting — the first empirical calibration of an LLM security benchmark since its creation in 2023. Supply Chain (LLM04) and Data/Model Poisoning (LLM05) also advanced, in direct alignment with both 🟢 incidents this week.
What it contradicts: For two years, the expert community ranked "Excessive Agency" 6th, treating prompt injection and information disclosure as primary risks. Production incidents show that autonomous agents capable of irreversible actions cause more severe operational impact — exactly what Storm-0940/ARTEX (2,900 attempts/minute, privileged access in < 3 hours) and LiteLLM's startup-hook exfiltration illustrate directly this week.
What it doesn't say: The 75% expert / 25% incident weighting remains biased toward known, well-documented threats. Non-Human Identities (NHI) — absent as an explicit category — and attack vectors via MCP (Model Context Protocol) and agent mesh architectures remain underrepresented in current incident databases, potentially delaying their appearance in future editions.

Consultant's reading: Adding incident data is the right methodological direction, but it introduces a structural temporal lag: vulnerabilities in the database are those already exploited and reported — a backward-looking bias in a field evolving faster than its benchmarks. For a CISO, the practical value of the 2026 Top 10 is twofold: validate current priorities (prompt injection, supply chain, excessive agency) and treat the gaps in the ranking as a prospective signal for emerging threats not yet documented as incidents.

Risk/Limitation: OWASP is a nonprofit, but the project is sponsored by AI security vendors (AWS, Google, Microsoft, among others) that may influence the weighting of categories advantaging their remediation products. The 6,639-vulnerability database is not publicly available for independent audit.

Link: cybersecuritynews.com Publication date: August 4, 2026 Freshness: ⚪ foundational — directly classifies both 🟢 incidents this week (LLM04 Supply Chain, LLM03 Excessive Agency, LLM01 Prompt Injection) Source reliability: confirmed Analytical frame: data / benchmark

4. 97% of non-human identities carry excessive permissions — NHI governance is the structural blind spot of enterprise agentic security

— CSA Non-Human Identity Governance Vacuum (whitepaper) + Sophos 2026 data, May 2026

The Insight: According to the Cloud Security Alliance's May 2026 whitepaper, the NHI-to-human identity ratio has already reached 100:1 in large enterprises, 97% of NHIs carry more permissions than their function requires, and only 15% of organizations report being able to prevent an NHI-based attack. Average dwell time after an NHI compromise is 200 days — three times that of a compromised human account.

Today: Both this week's 🟢 incidents directly illustrate this deficit: LiteLLM's maintainer OAuth tokens (NHIs) had PyPI publish rights with no multi-party approval requirement; ConnectWise application credentials exploited by Storm-0940 had cross-tenant rights that were never audited. Per Sophos 2026 data, NHI governance failures are the initial vector in 41% of successful identity breaches.
Trajectory (12–24 months): The proliferation of AI agents in production (each agent generates one or more NHIs — token, API key, OAuth client) will dramatically expand this surface before governance practices mature. CSA projects the NHI-to-human ratio will exceed 1,000:1 in large enterprises by end of 2027, with no precedent in the history of identity management.
Tipping condition: A publicly attributed major incident involving a compromised AI agent NHI — or adoption of an NHI lifecycle standard (OAuth 2.1 Dynamic Client Registration + NIST AI RMF) — will force a regulatory response analogous to Log4Shell's effect on open-source component security.

Consultant's reading: NHI is not a future problem: both this week's incidents are direct examples. What is missing is not awareness of the risk (71% of organizations suffered identity-related breaches in 2026) but the tools and processes to inventory, rotate, and revoke non-human identities with the same rigor as human accounts. A remediation engagement in this space starts with the inventory — and most organizations don't have one.

Risk/Limitation: The CSA whitepaper dates from May 2026, before the summer wave of AI agent deployments. Statistics (97%, 100:1) combine self-reported survey data with NHI vendor customer analyses, introducing selection bias. The term "non-human identity" remains heterogeneous across the industry: API tokens, mTLS certificates, service accounts, workload identities, and AI agents do not share the same risk profile.

Link: labs.cloudsecurityalliance.org Publication date: May 2026 Freshness: ⚪ foundational — structural root cause connecting both 🟢 incidents (stolen maintainer OAuth tokens, unaudited cross-tenant service credentials) Source reliability: probable Analytical frame: weak signal

Strategic Signals This Week

Offensive AI crosses a production threshold: Storm-0940/ARTEX is the first publicly documented case of a state actor using autonomous AI agents not to prepare but to execute a large-scale intrusion campaign. Execution speed (< 3 hours from target selection to privileged access) redefines SOC detection requirements — 24–72-hour event-correlation windows are now structurally insufficient.
AI infrastructure becomes the priority attack surface: LiteLLM (twice in eight months), ConnectWise, and Semantic Kernel's CVSS 9.9 CVEs (May 2026) reveal that abstraction layers and agent orchestration frameworks are accumulating critical security debt before being treated as infrastructure components in the classical sense.
⚖️ What contradicts the consensus: The dominant narrative places prompt injection (OWASP LLM01) at the top of AI risk. Both major incidents this week contradict that priority: the initial breach vector was not prompt injection but classic credential theft — OAuth token hijacking and automated password spray. AI only accelerated and amplified exploitation after initial access. This suggests the most urgent defenses remain identity hygiene (credential rotation, hardware MFA, least privilege on NHIs) ahead of AI-specific controls.