GitHub遭遇“GhostAction”攻击，约1900个账户被盗，攻击者利用窃取的开发者凭证向3万余仓库植入恶意工作流，窃取CI/CD密钥、云凭证及AI API密钥。攻击高峰在10月8日至9日，波及约3000用户，目标为3174个密钥。此次攻击并非利用GitHub Actions漏洞，多数受影响仓库未清理，凭证泄露数量不明。

本文介绍如何为每个 PR 自动创建独立预览环境：用 GitHub Actions 构建镜像并推送至 Artifact Registry，在 GKE 中为每个 PR 创建独立命名空间部署应用；通过 Workload Identity Federation 实现无密钥认证，使用共享 Ingress 和通配符 DNS 路由，由 cert-manager 自动签发 TLS 证书；机器人将预览 URL 评论到 PR，关闭后自动清理，并定时回收遗留环境。

pgAdmin 已将构建流程从 Jenkins 迁移至 GitHub Actions，工作流文件存于主仓库，便于审查和恢复。新流程在九种 Linux 发行版上实际安装测试，发现了旧检查无法捕捉的仓库路径错误。容器镜像和 Helm chart 也迁至 GitHub 容器注册表，未来有望构建 arm64 包。

GitHub Universe 2026将举办10场技术演讲，议题包括验证AI生成代码和保障npm依赖安全。GitHub还发布了开发者政策透明度更新，并联合耶鲁调查千余名用户，发现开发者需要更高效的软件以及减少算力浪费的工具与指导。

GitHub 调整 NPM 可信发布规则，新配置须在 48 小时内完成首次发布，否则失效。此举旨在修复仓库名回收漏洞：维护者重命名或删除仓库后，攻击者可注册同名仓库获取发布凭证，向原包推送恶意版本。约 1500 个包受影响。NPM 还限制 issue_comment 事件触发发布。

微软CoreAI的Batu Ozturkler和Shengyu Fu为GitHub Copilot开发智能体模型编排与路由技术，研究自适应模型选择、多模型协调、长周期智能体工作流及开发者安全，并通过优化模型和上下文学习提升Copilot在补全、聊天、代码审查等场景的开发者生产力。

GitHub第42周热门开源项目周刊精选10个项目，涵盖AI、开发工具、云原生等领域。最受关注的是OpenAI用Lean语言形式化验证数学定理的math项目（14k星）。其他项目包括Rust电子表格GridCraft、CAD工具cadcraft、AI渗透测试系统ARTEX、控制iPhone的Python工具、等距图示生成器Anatomy、艺术动画工具huashu-art-motion及AI个人理财应用aurelio-finance等。

本期介绍10个GitHub项目：DiPlay让比亚迪车机支持CarPlay；Gufo为AMD Strix Halo提供本地AI引擎；ArtCraft系列是AI开发的开源Adobe替代品；SimRun将iOS模拟器App放入Mac窗口；OpenList-Worker可在Cloudflare部署OpenList；reinstall无需面板重装VPS系统；RetainPDF翻译PDF并保留排版公式；Mocreak下载安装Windows和Office；Hister全文搜索浏览过的网页；HowToLiveBetter是标注成本与出处的中文生活指南。

GitHub联合微软推出开源基准ReviewBench，用219个公开PR评测AI代码审查工具。首期榜单中，GitHub Copilot以40.1%的F1得分居首，但测试由GitHub自行完成且各产品测试时间不一，结果存疑。Martian等竞品基准排名不同，凸显基准设计对结果影响很大。

GitHub第41周热门项目周刊精选10个开源项目，覆盖AI、开发工具、云原生等领域。重点包括：CopilotKit/OpenDots（永不掉线的AI助手）、universal-modder（基于Claude AI的游戏模组开发）、dots（可规避检测的AI智能代理，具备独立浏览器）、floorplan-3d（3D楼层设计）、yomiyasu（优化AI日语表达），以及Facebook的Muse SDK、HTML答题工具、REDox数据引擎和SkyCraft等。

GitHub在Copilot CLI和桌面应用中推出“计算机使用”公开预览，允许代理操作macOS和Windows应用，包括读取内容及点击、输入、滚动、拖拽，适用于无API的旧版软件。该功能通过操作系统辅助功能树读取应用，必要时截图，建议优先使用API等直接工具。企业策略可覆盖本地设置，且存在误操作、敏感信息泄露等风险。

IssueRelay 是一个开源 AI 客服系统，为 React 网站提供反馈组件。访客提交问题后先存入数据库，由 AI 模型 Jev 分类，经人工审核确认后自动创建 GitHub issue，并去除隐私信息。系统基于 Next.js 和 PostgreSQL，支持自托管，约 15 分钟即可部署。

GitHub 动态工作流采用“确定性骨架+概率性节点”模式：用代码固定步骤、依赖、数据格式与审批点，仅将需判断的局部交给 Agent。该模式可重复执行、可观测、可控成本，并支持版本对比与测试。设计时需区分确定性工具、概率性判断和副作用节点，分别处理重试、超时与审批，适用于发布检查、事故研判等重复且失败代价高的任务。

本文介绍GitHub开发者倡导者Andrea Griffiths的背景，并汇总GitHub近期动态：发布开发者政策透明度更新，说明影响开发者与开源的政策变化；调查显示超千名用户希望获得更高效软件及减少算力浪费的工具与指导；另报告2026年8月GitHub服务发生五次性能下降事件。

Azure Pipelines 正式推出 GitHub 托管代理与按量付费，新增 macOS、Linux、Windows 多种规格（含 Apple 芯片），按分钟计费，无需预购并行作业。启用后新建代理池，现有流水线不变，可在分析页和 Azure 成本管理中监控用量与费用。

Go 的 import 路径兼具命名空间与代码拉取地址功能，直接使用 github.com 会与托管平台绑定。HN 讨论中，反方认为可通过全局替换或 go.mod replace 解决，但旧 Git tag 不可变、replace 仅对主模块生效，历史构建与下游用户仍受影响。正方主张用自有域名加 go-import 元标签解耦，成本低且便于迁移与统一鉴权。建议长期被依赖的项目从第 0 天启用自有域名。

GitHub将Primer设计系统从CSS-in-JS迁移到CSS Modules，服务端渲染时间减少55%，组件初始化减少25%，计划2026年6月主站实现100%迁移。关键不是选型，而是双轨兼容、量化债务、灰度回滚。团队应先定性能预算，按组件级迁移，用开关和视觉回归兜底，避免只看包体积或盲目自动改写。