每日科技资讯精选｜2026-10-29

2026-10-29 每日科技资讯精选 · 本期 6 条。今天最重要的一件事是微软把 Copilot harness 与多模型编排同时推向企业可用：Foundry 托管 harness 进入公开预览，GitHub Copilot Fusion 正式 GA，模型选择从开发者手工决策变为平台按任务自动编排。

1. 微软 Copilot harness 进入 Foundry Agent Service 公开预览（Microsoft · 2026-10-29 00:51（北京时间，原文 16:51 UTC） · 官方发布）（P1 值得阅读） #

就此条发起议题

• 新变化/核心观点：微软官方博客宣布，把 GitHub 工程团队构建的 Copilot harness 经 Microsoft Foundry 提供给开发者与企业客户；该 harness 驱动 Copilot Code、Copilot Studio、GitHub Copilot app、CLI 与 VS Code，支持 20 多个前沿模型与自带密钥（BYOK），按任务把工作智能路由给合适模型，运行时已移植到 Rust，原文称其降低了会话开销与首 token 时间，但未给出具体数字。Foundry Agent Service 中的 harness 为公开预览，微软负责 agent loop 与沙箱，用户提供指令、skills、工具与模型选择，四大构建块为可复用 skills、显式配置认证与审批的 Foundry/MCP 连接工具、内置 subagents 的执行与委派、源码管理的 agent 定义；同日托管 agent 的 long-running resilience 正式 GA。
• 对银行业的价值：（推断）银行若已在研发或运维助手上自研编排层，可用该托管 harness 做对照试点：先把只读查询、报告起草等低风险任务交给预览版，把审批与写操作留在内部系统并全程审计；但须注意两处预览期限制：创建后暂不支持更换 harness，执行环境的 CPU、内存与空闲设置由 Foundry 管理；且预览期 harness 运行时免费，2026-12-01 起沙箱算力按 0.0994 美元/vCPU 小时、0.0118 美元/GiB 小时计费，上线前须先测算 token 与沙箱成本。
• 值得深读：Foundry 博客的 azure.yaml 示例（harness 类型为 microsoft_copilot_preview）与三种路径对照表（无 harness 的 prompt agent、带 harness 的 prompt agent、托管 agent）；long-running resilience 一节对检查点与幂等的要求，即恢复时应用须自行保存进度并防止重复动作。
• 原文链接：https://blogs.microsoft.com/blog/2026/10/28/introducing-the-microsoft-copilot-harness-unlocking-the-potential-of-truly-multi-model-agentic-work/；另见 https://devblogs.microsoft.com/foundry/microsoft-copilot-harness-in-foundry

2. GitHub Copilot Fusion 正式 GA：模型选择交由平台按任务编排（GitHub · 2026-10-29 00:00（北京时间，原文 16:00 UTC） · 官方发布）（P1 值得阅读） #

就此条发起议题

• 新变化/核心观点：GitHub Changelog 宣布 Copilot Fusion 正式 GA：开发者不再逐任务挑选模型，而是在模型选择器中选 Copilot Fusion 并选努力级别，由系统按任务路由与编排模型。Fusion 融合了 Project HydraFusion 的多模型编排与 Copilot 自动模型选择，三档为 Standard、High、Max，三种工作流为单模型直接求解（Single）、高效模型起草加质量检查决定接受或升级（Cascade）、一模型起草另一模型评审后原模型修订（Critique）；GitHub 引用 Artificial Analysis 编码智能体指数称，Fusion Max 得 60 分，与 Claude Code 搭配 Opus 5.5 Max 相差 2 分，平均 API 成本约一半、token 约一半、每任务耗时约少 40%。企业管理员可控制 Fusion 可用模型、独立设置各模型策略状态、可将其设为默认；计费按所用模型标准费率，付费计划限时享模型费用 7 折；适用 VS Code、GitHub Copilot app、Copilot CLI 与 JetBrains IDE。
• 对银行业的价值：（推断）研发团队可把“谁选模型”从个人经验变为平台策略：用企业模型策略限定 Fusion 可用模型范围，避免其调用未经审批的模型；但须注意编排可能多次调用模型，成本须按 token 实测而非只看基准，基准为 GitHub 引用的第三方指数结果，落地前应用自有任务集复测质量与成本。
• 值得深读：三种工作流的定义（Cascade 的质量检查接受或升级、Critique 的起草—评审—修订闭环）；管理员控制一节（模型策略、独立策略状态、设为默认）；以及计费段落（按模型标准费率、限时 7 折）与研究预览用户自动迁移的说明。
• 原文链接：https://github.blog/changelog/2026-10-28-route-and-orchestrate-models-with-github-copilot-fusion/

3. AWS ECS 支持 NVIDIA MPS 的 GPU 共享（窗口边缘补录）（AWS · 2026-10-28（页面仅标注日期） · 官方公告）（P1 值得阅读） #

就此条发起议题

• 新变化/核心观点：AWS 宣布 Amazon ECS 支持 NVIDIA Multi-Process Service（MPS）的 GPU 共享，多个 ECS 任务可并发运行于同一块 NVIDIA GPU，且无需改动应用代码；用户在容器定义中设定每容器所需 GPU 显存，并可选用最大算力份额，ECS 按可用容量放置任务。支持 ECS Managed Instances 与 EC2 两种形态；在 Managed Instances 上，ECS 会监控 MPS 控制守护进程，守护进程停止或不健康时自动替换实例并把任务迁移到健康容量；全部 AWS 商业区域与 GovCloud（US）区域可用；原文点名的适用负载为小模型推理、AV/ADAS 仿真、embedding 生成与多模型服务。
• 对银行业的价值：（推断）银行 GPU 集群上小模型推理、向量化等低占卡任务可从整卡独占改为共享，提升显存与算力利用率；但 MPS 为进程级共享，原文未承诺强隔离细节，相互干扰敏感或需强隔离的作业上线前须先验证显存与算力上限在争抢与故障下的实际表现；Managed Instances 才有守护进程监控与自动替换，EC2 自管形态须按文档核对前置条件。
• 值得深读：AWS 原文的适用负载列表与“无需改动应用代码”的表述；Managed Instances 自愈段落（监控 MPS 守护进程、自动替换实例并迁移任务）；以及经控制台、CLI、SDK 或 CloudFormation 创建 capacity provider 并设置 GPU 共享策略的上手路径。
• 原文链接：https://aws.amazon.com/about-aws/whats-new/2026/10/amazon-ecs-gpu-sharing-nvidia-mps/

4. Kubernetes 镜像推广附带签名 SLSA 验证摘要（窗口边缘补录）（Kubernetes · 2026-10-28（页面仅标注日期） · 官方发布）（P1 值得阅读） #

就此条发起议题

• 新变化/核心观点：Kubernetes 贡献者博客介绍，自 2026-10 起，镜像推广器（kpromo）在推广时按 promoter manifest 中的来源策略验证 staging 镜像的证明，并发布经签名的 SLSA verification summary（VSA）；摘要以 OCI referrer 形式随镜像、证明与签名一同由 registry.k8s.io 提供，签名身份为 p***@k8s-releng-prod.iam.gserviceaccount.com，且仅生产推广任务可用。首个使用者 Security Profiles Operator v1.1.1 在 SLSA build level 3 验证；验证可用 cosign v3 加 jq，或 slsa-verifier v0.1.0；关键限定是 PASSED 本身只表示通过了已评审的推广清单，无策略项目得 SLSA_BUILD_LEVEL_UNEVALUATED，warn 模式下违规得 FAILED，且摘要钉住了策略清单的 git commit。
• 对银行业的价值：（推断）银行容器准入可在“验签名”之外再加“验摘要加验级别”：对跑在节点特权位置的镜像要求 level 3，一般测试镜像可放宽到 level 1；但摘要本身不保证镜像无漏洞，须与 SBOM、VEX 与漏洞扫描联动，原文示例中 SPO 的 SBOM 与 VEX 文档正是与摘要一同附在镜像旁。
• 值得深读：两段验证命令（cosign 加 jq 同时检查 verifier.id、结果与级别；slsa-verifier 的 PASS/FAIL 输出示例）；SPO operator bundle 仅 level 1 的反例，说明必须同时钉住签名者与级别；以及级别含义表（level 1/2/3 的防护差异与 level 2 在实践中缺失的原因）。
• 原文链接：https://www.kubernetes.dev/blog/2026/10/28/registry-k8s-io-verification-summaries/

5. 用 VPC Flow Logs 排查 GKE 工作负载的新实践（窗口边缘补录）（Google Cloud · 2026-10-28（页面仅标注日期） · 官方发布）（P2 可选） #

就此条发起议题

• 新变化/核心观点：这是一篇新实践文章，而非功能发布：Google Cloud 博客介绍用 VPC Flow Logs 排查 GKE 工作负载的方法，流记录在虚拟网络层采样并标注 GKE 元数据（集群、Pod/工作负载、命名空间、服务、节点与可用区），无需额外部署 agent 或 sidecar；Flow Analyzer 可按工作负载分组、按调用方占比与时延排序、用 SQL 过滤跨区流量；三个 walkthrough（依赖图谱、单服务深钻、跨区流量）基于 Online Boutique 演示。
• 对银行业的价值：（推断）银行在混合云或多集群排障时，可用网络层归因补齐“Pod IP 已回收、日志对不上 workload”的断点；但须注意四项限定：采样数据只适合排序与趋势，不适合逐连接核算；网络策略拦截的流量到不了 VPC 网络，须用 NetworkPolicy logging；出向互联网流量经 masquerade 后丢失 Pod 标注；_Default 日志桶升级为 Observability Analytics 不可逆，Standard 集群开启 intranode visibility 会重启控制面与节点组件，须先在非生产集群验证。
• 值得深读：三个案例的操作步骤（GKE workload is known 过滤、Client↔server 双向聚合、src_gcp_zone <> dest_gcp_zone 的 SQL 过滤）；“What to keep in mind”一节的限定；以及用 PreferSameZone（旧版为 PreferClose）缓解跨区传输成本的建议。
• 原文链接：https://cloud.google.com/blog/products/containers-kubernetes/using-vpc-flow-logs-to-troubleshoot-gke-workloads

6. Cloudflare Agents SDK 让智能体在浏览器内私密预览开发服务器（窗口边缘补录）（Cloudflare · 2026-10-28（页面仅标注日期） · 官方文档）（P2 可选） #

就此条发起议题

• 新变化/核心观点：Cloudflare 开发者平台更新日志宣布，Agents SDK v0.31.0 起，持久浏览器支持内部主机名（如 preview.internal），智能体可在浏览器内预览仅由自己提供的开发服务器、沙箱端口、工作区文件夹或另一 Worker，而不暴露到公网；每个内部主机有运行于 Durable Object 的 fetch 函数，可用对象绑定与状态，也可经 service binding 直连另一 Worker；target schema 让模型自选端口或目录并经 browser.assignHost() 生效，且跨轮次、浏览器重启与重新部署保持；该能力与 harness 无关，内置 Pi Durable、AI SDK、TanStack AI 适配器，或用 browser.session() 自接；同版 browserTool 简化，不再需要 CodemodeRuntime 导出。
• 对银行业的价值：（推断）银行内部“智能体写代码并自验页面”的场景可避免为预览临时开公网入口；但内部主机仍经模型选择的 target 执行，须把可访问端口与目录收敛到白名单并审计 fetch 回调，避免模型把内部服务当作任意代理。
• 值得深读：Pi Durable 完整示例的三段（Browser 配置 internalHosts、Durable Object 的 fetchInternalHost 接线、browserTool 注册）；target 跨轮次持久化的说明；以及 v0.31.0 升级说明中 browserTool 的变化。
• 原文链接：https://developers.cloudflare.com/changelog/product-group/developer-platform/

后续关注

• 微软 Copilot harness 在 Foundry Agent Service 的运行时计费自 2026-12-01 起开始，沙箱算力为 0.0994 美元/vCPU 小时、0.0118 美元/GiB 小时，预览期免费。

窗口边缘（未列入）

• Azure Blob Storage 账户上限 GA（官方页仅标注 October 2026，聚合源标注 10-28，官方 roadmap 日期为 10-27）：无法确认落入本窗口，未列入。
• Anthropic 未发布模型五条漏洞利用链原文（2026-10-27，北京时间 2026-10-28 02:15）：在本窗口开始之前，未列入。
• Kubernetes v1.37.2（2026-10-28）：补丁版本，按规则不列入。

已查信源

• 平台与容器项目官方渠道：Kubernetes SLSA 验证摘要博客（2026-10-28，见正文第 4 条）；Kubernetes v1.37.2 补丁（2026-10-28，未列入）；Argo CD、Flux（2.10.0 为 2026-10-26，窗口外）、Backstage、Prometheus、Istio、Cilium 本轮无窗口内重要更新。
• 网关与 AI 基础设施项目官方渠道：AWS ECS GPU 共享（2026-10-28，见正文第 3 条）；Kubernetes Gateway API、Envoy Gateway、Kong、APISIX、Higress、LiteLLM、SFTPGo、tus、Kueue、Volcano、HAMi、Koordinator、KServe、vLLM、llm-d 本轮无窗口内重要更新。
• 社区与媒体：CNCF 博客、The New Stack、InfoQ 本轮无窗口内达标文章。
• 云厂商官方博客：Google Cloud GKE Flow Logs 实践文章（2026-10-28，见正文第 5 条）、Cloudflare Agents SDK 更新日志（2026-10-28，见正文第 6 条）；AWS、Azure 本轮无经官方原文核实的窗口内达标发布（Azure Blob 配额见窗口边缘）。
• AI 厂商官方发布：微软 Copilot harness（北京时间 2026-10-29，见正文第 1 条）、GitHub Copilot Fusion（北京时间 2026-10-29，见正文第 2 条）；Anthropic 漏洞利用链原文为 2026-10-27，窗口外；OpenAI、Google DeepMind、MCP 官方博客/规范本轮无窗口内达标新发布。
• 学术：arXiv 本轮检索未发现窗口内强相关的 Agent 可观测、运维 Agent/AIOps、AI 编码、LLM 推理与算力调度达标论文。
• 热度参考：Hacker News 首页本轮以 Anthropic 漏洞利用链报道、Oracle EBS 漏洞探测、macOS 证书问题等为主，均未达入选门槛（Anthropic 原文窗口外，其余非聚焦领域或二次报道）。