2026-10-25 · 周日 · 7 条 Copilot 用量按客户端拆分、GitHub 公开泄露监测加上有效性检查与 API、OpenAI 说明前沿模型训练的隔离措施
今天的主线是「看得见、关得住」：编码工具的模型用量可以按客户端核对，泄露的密钥能看出还有没有效，前沿实验室也在公开讲怎么把训练和评测关起来。对做产品的人，度量和隔离要先于扩大使用。
-
- 企业、组织及其用户的 1 天和 28 天报告新增 totals_by_client 数组，client 取值包括 opencode、claude_code、codex、zed、copilot_cli、cloud_agent、code_review、vscode、jetbrains 等，识别不了的归入 other。
- 每个客户端给出成功的模型请求数、会话数、输入与输出 token 和单次请求平均 token，并按模型细分，附 model_selection_mode（用户选、自动选或产品指定）。
- request_count 统计的是模型调用而不是提示，一次提示可能产生多次调用；客户端按请求带的集成 ID 识别，官方说明只能当作尽力而为的分组，不是经过验证的身份。
- 变更只增不改，现有字段不变；需要开启 Copilot 用量指标策略，企业所有者、账单管理员、组织所有者和有 View Copilot Metrics 权限的自定义角色可查看。
开发者视角和 10-24 那条「用量里能看到自建技能和 MCP 服务器名字」连起来看，Copilot 正在变成多家编码工具共用的模型账单入口。我会先拉一份 28 天报告，按客户端看 token 花在哪，再决定团队标配哪个工具；但别拿 request_count 去和提示数比，也别把 client 当审计证据。
-
- 企业可以在安全看板里把告警标为 Dismissed 或 Fixed 并附说明，也可以重新打开；活动时间线留存操作记录，告警可按仓库、提交者、密钥类型、归属方式和状态筛选。
- 对支持的服务商自动、持续做有效性检查，告警显示凭据是 Active、Inactive 还是 Unknown。
- 新增 GET /enterprises/{enterprise}/secret-scanning/public-monitoring-alerts 接口和企业级 secret_scanning_public_monitoring_alert webhook，新泄露归属到企业时实时通知。
- 官方特别说明：关闭告警只改企业内的状态，不会吊销凭据，也不会把它从公开仓库删掉。目前为公开预览，面向 GitHub Enterprise Cloud，含在 Advanced Security 或 Secret Protection 许可里，不另收费。
开发者视角10-24 的 LiteLLM 投毒说明，开发机和 CI 上的凭据随时可能被带出去；「还有效」这一列正好决定先轮换哪把钥匙。我会把这个 webhook 接进现有的值班告警，规定 Active 的当天吊销，并且只有吊销完才允许把告警标成 Fixed。
-
- 文章归在 OpenAI 的 Security 栏目，10 月 23 日发布，讲的是它如何加强前沿模型训练和评测的隔离（containment）。
- 官方摘要点名的两项措施是离线环境和高算力红队测试。
开发者视角和 10-24 那条 AISI 复盘连起来看，两家前沿实验室在同一周把「测的时候也要关住模型」写成了公开做法。我们没有前沿模型，但道理一样：给智能体跑评测和自动化回归时，默认断网、用假的外部服务，要联网就单独开白名单。
-
- 新 Space「torch-neuronx model support」可按精选、热门、下载量查模型，每条结果给出所需核心数、含编译的运行时间和设备峰值显存。
- 目前只测 Transformers 里的 text-generation 和 image-text-to-text 模型，且只测能放进 4 张 Trainium2（最多 16 个核心）的模型；之后计划加入 diffusers、sentence transformers 等。
- 测试只生成 32 个 token：单核结果与 CPU 对比，分片的模型由一个小评判模型检查输出是否通顺。官方说明 PASS 不代表吞吐量或长文本生成的表现。
- 每个模型附 Neuron 版本、依赖和 run.py，可从公开的 NEFF 缓存同步预编译图跳过编译；底层数据集 aws-neuron/torch-neuronx-model-support 可直接用 pandas 查询。
开发者视角想把开源模型挪到 Trainium 省钱的，第一步不用再自己踩坑，先查这张表。但它只证明「能跑起来」：我会拿 PASS 的模型跑一遍自己的真实请求，测吞吐和长输出，再和现在的 GPU 账单比。
-
- 基于 Qwen3-VL，把开放词表目标检测、指代定位、计数、指点和 OCR 等目标级任务，与指代分割、可提示的 alpha 抠图等像素级任务统一成结构化的下一 token 预测。
- 像素级输出由一个约 960 万参数的轻量解码器完成；框和点用 <0> 到 <1000> 的坐标 token 表示，目标不存在时返回 None。
- 为推理效率直接输出结构化结果，不做显式思维链；目前只处理单轮图片，不支持视频。
- 腾讯编写的代码以 Apache 2.0 发布，第三方组件保留原许可；官方定位为研究用途，不用于自动做高影响决策或识别个人。
开发者视角AI 云盘里的「按内容找图」、截图里的文字定位，现在要串好几个模型，这个 4B 模型值得拿来做一次合并试验。我会先在自己的图片样本上比 OCR 定位和计数的准确率；它不支持视频，也明确不该拿来认人，这两条在产品设计里要先划掉。
-
- 新的 GitHub 应用在 Teams 的频道、群聊和私聊里推送 GitHub 通知；收到 bug 报告后 @github，它会调查问题、修复并开 PR，由团队审查、测试和合并。
- 这个应用原名 GitHub notifications，已安装的更新到最新版即可，原有通知功能照常可用。
- 旧的 GitHub 应用改名为「GitHub (deprecated)」，11 月 16 日退役；要继续在 Teams 里用 Copilot，需要安装合并后的新应用，首次 @GitHub 时按提示连接账号并选择仓库。
开发者视角从通知直接派活给智能体很顺手，但也意味着频道里任何能 @ 的人都能让它动仓库。我会先在一个低风险仓库的频道里开，明确谁能派活、PR 必须走正常审查；用 Teams 的团队记得把 11 月 16 日的旧应用退役排进日程。
-
- 作者把智能体生成交互图表的问题归为两个：反复推理、写代码、调试带来的生成成本，以及布局错乱、交互失效等可靠性问题。
- Flint-interactive 建在 Flint 之上，由编译器把用户交互翻译成语义事件，再由高层算子更新图表；智能体只需在 Flint 图表规格旁再生成一份 interaction_spec。
- 用户可以通过 Flint-MCP 和 MCP Apps 让智能体在对话里直接渲染交互图表，开发者也可以用编程接口让自家智能体应用输出交互图表。
- 文章没有给出量化评测；项目主页在 microsoft.github.io/flint-chart，并接受在 GitHub 上提交交互预设。
开发者视角让模型输出「规格」而不是代码，是降低智能体出错率最便宜的办法之一，图表只是一个例子。我会在需要给用户出报表的功能里先试 Flint-MCP，比较一下和让模型直接写前端代码相比，失败率和 token 消耗差多少；它没有公布评测，结论要自己测。
本期由 AI 辅助检索与起草，选题标准与观点由 Darius 设定。