把 AI 智能体当「新内部人」：身份、权限与审计

微软的建议很直接：智能体要按员工标准管。八成组织已遇到智能体风险行为，治理工具也在从单次调用转向动作序列。

AI 安全扫描进了 PR：GitHub 的 AI Scan 与自动修复意味着什么

AI Scan 与 agentic autofix 同期转为正式可用，开源许可证合规也进入 GA。安全反馈在往更早的位置移，但门禁该怎么设要重新想。

GitHub Actions 工作流锁文件：把 CI 依赖钉在你审阅过的那次提交

工作流锁文件进入公开预览：把 actions 及其传递依赖锁定到具体提交，并说明它不覆盖什么、不能证明什么。