VS Code 1.140 上线 Copilot harness 与多文件夹会话：一次编排多个仓库，远程委派仍需人守着

VS Code 1.140（2026 年 9 月 30 日）把 Copilot harness 放进聊天默认，并带来实验性的多文件夹会话、远程委派和共享 worktree 文件夹。多 agent 编排变强了，但全部默认关闭，协调窗口还得一直开着。

npm trusted publishing 新增 dist-tag 权限：发布后改 tag 不必再留长期令牌

GitHub 9 月 30 日为 npm trusted publishing 增加可选的 dist-tag 管理权限，默认关闭。开启后，把版本提升为 latest 或回滚指针都能用短时 OIDC 凭据完成，长期访问令牌可以彻底移除。

Google Cloud API Gateway 变成远程 MCP server：给 OpenAPI 加注解，就能把 REST 接口交给 Agent

Google Cloud API Gateway 公开预览可作为远程 MCP server：在已有 OpenAPI 描述上加注解并部署，REST 操作就变成 agent 可调用的工具。鉴权与配额沿用现有策略，但 tools/list 默认不认证。

GitHub Copilot 上线 computer use：Agent 直接操作桌面 App，macOS 与 Windows 先行公测

GitHub Copilot 的 computer use 进入公开预览，CLI 与应用都能读取并操作桌面 App，先支持 macOS 与 Windows，目标是覆盖没有 API、CLI 或 MCP 的 GUI 软件。

GHE.com 停用仅 X25519 的 TLS：10 月 7 日截止，代理和 TLS 配置要逐项核对

GitHub 提醒：2026 年 10 月 7 日起，GHE.com 停止接受仅提供 X25519 的 TLS 连接。端点继续支持 P-256 与 P-384，SSH 不受影响，但内网代理与自建 TLS 配置需要提前改掉。

HydraFusion 进入 VS Code 与 Copilot 应用：不再挑模型，改用多模型编排换质量

HydraFusion 从 Copilot CLI 扩展到 VS Code 与 Copilot 应用，在模型选择器里提供 Single、Cascade、Critique 三种多模型编排模式，仍是研究预览，Business 与 Enterprise 需管理员开启。

GitHub 上线动态工作流：把多 Agent 编排写成代码，CLI、应用与 SDK 同步可用

GitHub 发布动态工作流，把多 Agent 任务的编排写成代码，在 Copilot CLI、Copilot 应用与 Copilot SDK 同步可用，支持并行步骤、结构化结果传递、子 Agent 互检与检查点暂停。

GitHub Copilot 代码审查开放 API：审查可由流水线触发，默认档位静默换成 Balanced

GitHub 让 Copilot 代码审查可以通过 REST 和 GraphQL API 触发并逐次指定投入档位，同时把默认档位从 Default 改成 Balanced——一次没有逐个通知的静默成本变化。

GitHub 异步合并 API 正式可用：提交合并拿 UUID、轮询取结果，还是唯一支持堆叠 PR 的合并接口

GitHub 异步合并 API 正式可用：PUT 提交合并拿 UUID、GET 轮询取结果，支持合并队列与堆叠 PR，是官方推荐的程序化合并路径，取代同步 REST 端点和 GraphQL mutation。

GitHub 安全公告支持机密评论：维护者内部讨论留在案卷里，报告人看不到但审计查得到

GitHub 让维护者能在安全公告上留只有写权限用户可见的机密评论：内部调查讨论回到公告案卷，报告人不可见也不被通知，查看行为进审计日志，API 只在 GraphQL 提供。

GitHub App 安装令牌改成无状态格式：长度从 40 位涨到约 520 位，11 月 30 日前要清掉覆盖头

GitHub App 安装令牌无状态格式已全量切换：前缀仍是 ghs_，长度从 40 位涨到约 520 位；权限与端点不变，但硬编码长度校验、存储列宽、长 Authorization 头和脱敏规则都会出问题。

GitHub Copilot 一次退役四个模型：Gemini 3.5/3.6 Flash、Kimi K2.7 Code、Claude Opus 4.7 当日生效

GitHub 于 2026 年 10 月 2 日退役 Gemini 3.5/3.6 Flash、Kimi K2.7 Code 和 Claude Opus 4.7，覆盖全部 Copilot 体验且无过渡期；替代模型需管理员按策略启用后才出现在选择器里。

GitHub Actions 退役 macOS 14 运行器：11 月 2 日移除，10 月先安排 8 次断电演练

macOS 14 运行器镜像于 2026 年 11 月 2 日退役，涉及 macos-14、macos-14-large、macos-14-xlarge；10 月有 8 次 UTC 断电演练会直接让旧标签作业失败，替换前需核对镜像软件清单。

Supabase 收购 Turso：Postgres 之外再添 SQLite，目标是为每个 Agent 现开一个数据库

Supabase 官方博客宣布收购 Turso，即 SQLite 的 Rust 重写版与云端平台背后的团队；官方称现有用户不受影响，价格为产品方未披露。

Vercel 网关上架匿名推理模型 Glyph Cluster：隐身期免费，数据可能被拿去训练

匿名推理模型 stealth/glyph-cluster 上架 Vercel AI Gateway：编码与长上下文分析定位，隐身期对 Pro/Enterprise 免费，无 ZDR、数据可能进训练集。

Anthropic 扩展网络安全验证计划：三档访问给防御方，红队工作不再被一刀切

CVP 合并 Project Glasswing 后分为三档：防御档数天回复、红队档放行授权渗透测试、最高档与美国政府协作审查。无 CVP 时安全任务全部首句被拦。