GitHub Weekly：Copilot Coding Agent 升级，Enterprise AI 获得真实治理
Source: Dev.to
概览
如果你本周眨了下眼，就错过了 GitHub 代理生态系统的五项重大更新：
- 为 Copilot 编码代理提供模型选择。
- 在 Pull Request 之前进行自我审查。
- 内置安全扫描。
- 企业 AI 控制功能正式 GA（General Availability）。
- GitHub Actions 终于解决了双压缩（double‑zip）制品问题。
下面来详细说明哪些内容真正重要。
Copilot 编码代理获得模型选择
Copilot coding agent 现在允许你选择模型。以前所有后台任务都在单一默认模型上运行——你无法为复杂的重构付费使用更强大的模型，也不能在例行工作时切换到更快的模型。
现在可以了。Agents 面板中包含模型选择器：
- Fast model – 适用于添加单元测试等直接任务。
- More capable model – 适用于复杂的重构或需要真实边缘案例的集成测试。
- Auto – 让 GitHub 为您选择最佳模型。
模型选择已对 Copilot Pro 和 Pro+ 用户实时开放，Business 和 Enterprise 版即将推出。
自从 GitHub launched agentic workflows 以来，我一直在关注代理能力的演进，而这正是团队在将真实工作委派给代理时所需要的控制。统一模型适用于演示；在生产环境中，你需要更多选项。
在 PR 打开前的自我审查
审查代理输出的痛点在于：差异（diff）可以工作，但代码看起来像是机器人写的——过于复杂的字符串拼接、毫无意义的变量名、以及违反团队约定的模式。
Copilot 编码代理现在在 打开 PR 之前 使用 Copilot code review 自行审查自己的更改。它会获取反馈、迭代并改进补丁。当你被标记审查时，已经有人（即代理）完成了审查。
在一个 GitHub Checkout demo 中，代理捕获到一个不必要的复杂字符串拼接，并在拉取请求提交之前修复了它。那以前是你的问题。
这是一件大事。自我审查意味着代理不仅仅是生成代码——它在应用与你期望的人类贡献者相同的质量标准。这就是代码生成器与真正的编码助手之间的区别。
安全扫描已嵌入代理工作流
AI 生成的代码可能带来与人工编写代码相同的风险：易受攻击的模式、意外提交的机密、包含已知 CVE 的依赖。不同之处在于，代理的速度更快。
Copilot 编码代理现在在其工作流中直接运行 代码扫描、机密扫描和依赖漏洞检查。如果某个依赖存在已知问题，或出现类似已提交的 API 密钥的内容，都会在 PR 打开之前被标记。
代码扫描通常是 GitHub Advanced Security（GHAS） 的一部分。使用 Copilot 编码代理，你可以免费获得该功能——GHAS 是付费附加项，这实际上让你在每个由代理生成的 PR 上都拥有企业级安全扫描，而无需升级。
这与我在关于上下文工程的文章中讨论的观点相吻合：代理需要在流水线中内置防护措施，而不是事后再加装。
企业 AI 控制正式发布
GitHub 的 Enterprise AI Controls 和代理控制平面 刚刚进入 正式可用 阶段。这是企业在大规模部署代理时真正需要的治理层。
您将获得
| Feature | Description |
|---|---|
| AI Controls tab in enterprise settings | 为所有 AI 相关的策略和设置提供统一视图。 |
| Audit logs with agent visibility | actor_is_agent 标识符以及 user/user_id 字段让您能够看到代理代表的是谁。 |
| Cloud agent session activity | 查看过去 24 小时内的所有代理会话（而不仅是前 1,000 条记录）。可按特定代理（包括第三方代理）进行搜索和过滤。 |
| Custom agent APIs | 通过编程方式应用企业范围的自定义代理定义，以实现更强的控制和合规性。设置源组织并列出在您规范的 .github-private/agents/*.md 仓库路径中定义的自定义代理。 |
| AI manager role | 通过企业自定义角色实现 AI 管理的去中心化，该角色具备细粒度权限，可查看审计日志、代理会话活动以及管理 AI 控制。 |
MCP 企业白名单仍处于预览阶段——GitHub 正在重新设计它们，以便在组织之间更好地扩展，而无需创建多个注册表。
如果您在企业范围内管理 Copilot，这正是您一直在等待的：真正的治理、真正的可审计性、真正的控制。不再是“所有人都启用 AI”或“AI 被禁用”。而是实际的企业级管理。
GitHub Actions：不再双重压缩制品
GitHub Actions 现在支持 上传和下载未压缩的制品，消除了长期存在的双重压缩问题。
构件上传改进
之前，你使用 actions/upload-artifact 上传的每个构件都会自动压缩成 zip。如果你为了保留权限或减小体积而上传了已经压缩好的文件，就会出现 双重压缩问题——压缩文件里又套了一个压缩文件。
现在，你可以在 v7 版 actions/upload-artifact 中将 archive 参数设为 false（发行说明），直接上传 未压缩的构件。这可以解决三个主要问题：
- 通过浏览器下载单个文件时不再需要解压。
- 如果浏览器支持该文件类型，可以直接预览文件（HTML、图片、Markdown）。
- 上传已压缩文件时不再出现双重压缩的问题。
注意： 仅对使用 v7 且将
archive设置为false的新构件生效（默认仍为true，以保持向后兼容）。同时，你还需要升级到 v8 版actions/download-artifact（发行说明）。
这只是一个小小的使用体验改进，却消除了在日常使用 CI/CD 流水线时会累积的“恼人小摩擦”。
本周已发布
- Copilot metrics now includes plan mode telemetry – 企业可以在现有 Copilot 指标的基础上，跟踪计划模式的采用率和参与度趋势。
- Gemini 3.1 Pro in public preview – Google 最新的代理式编码模型现已在 GitHub Copilot 中提供。早期测试显示，在每个基准测试中工具调用次数更少，工具精度更高。
- GitHub Actions runner scale‑set client – 在无需 Kubernetes 的情况下，为 GitHub Actions 运行器构建自定义自动扩缩解决方案。公共预览现已可用。
要点
GitHub 正在对 agents——不仅仅作为一个功能，而是作为开发者工作方式的核心部分——进行重大押注。模型选择、自我审查、安全扫描、企业治理——这些都不是实验性的；它们是为交付真实代码的团队设计的生产就绪能力。
信号很明确：agents 已不再是助手，而是队友。GitHub 正在构建相应的基础设施，以在企业规模上实现这一点。
如果你仍把 Copilot 当作自动补全工具，那就错过了更大的变革。本周，相关工具的能力大幅提升。