数据源：GitHub Blog Changelog、GitHub 官方博客、GitHub Docs，按板块 + 时间排序；覆盖：Copilot AI、平台功能、安全加固、Actions/CI、企业治理与计费、退役公告、运维事件。不含非官方传闻。
Copilot AI（Copilot Business / Enterprise / Pro）
时间顺序
- 09-01：Copilot Code Review 支持自动审批 PR（公开预览）；企业管理员可给用户预算设置过期时间
- 09-02：企业托管设置支持配置任意默认模型；Copilot App / CLI Content exclusions（内容排除规则）GA，可指定目录 / 文件不进入 AI 上下文
- 09-09：企业托管权限（Managed permissions）GA，管理员集中管控 Copilot Agent 操作：Shell 执行、文件读写、网络域名；可配置阻断 / 人工审批 / 自动放行，策略优先级高于用户本地配置
- 09-10：MAI-Code-1-Flash 全平台废弃，替换为 MAI-Code-1.1-Flash（Copilot Chat、内联补全、Agent 模式全部生效）
- 09-11：Copilot Code Review 自动修复与分析能力更新
- 09-22
- Copilot App 接入 OpenTelemetry 遥测导出
- JetBrains IDE Copilot 新版发布
- C++ 全库索引提速
- GPT-6 Sol、GPT-6 Luna、Claude Opus 5.5 上线 Copilot
- 09-23：Copilot App 本地沙箱 Local sandboxing GA，Agent 操作在本地隔离沙箱执行
- 09-25
- Copilot 企业托管设置内置校验器，校验 JSON 配置错误、团队映射异常
- Copilot Usage metrics API 新增 PR 评审阶段指标；Copilot Canvas 面向新手开放，自然语言构建自定义工作流
- 09-29：GPT-6.1 Sol、Claude Sonnet 5.5 在 Copilot 可用
平台协作功能（Issues、PR、仓库、个人主页）
- 09-01：个人仓库可禁止用户在讨论区发表评论
- 09-10：新版 PR 列表页面进入公开预览，高级 AND 搜索、紧凑视图、批量操作
- 09-11：个人资料页展示最高等级成就徽章
- 09-21：全新仓库 PR 列表页面GA，支持批量关闭 / 打标签 / 设置里程碑、侧边栏折叠、高级过滤
- 09-25：Issues 私有保存视图 GA；Issue 新增「Relates to」关联关系，REST/GraphQL、Webhook、Issue 搜索全部支持，可联动 Projects 项目面板
- 09-30：仓库概览页高亮无障碍声明
安全加固 & 供应链安全 GHAS / Secret Scanning / Dependabot
- 09-03：CodeQL 2.26.4，提升安全扫描检出能力
- 09-08：Dependabot 可自动访问 GitHub 托管镜像仓库，无需额外凭证配置（GA）
- 09-09
- GHAS 高级安全试用范围扩大
- 密钥扫描 Push 保护：检测到密钥泄露直接拦截 PR 合并（GA），阻止密钥合并进主干分支
- CodeQL 2.27.0，新增 Linux ARM64 支持
- 09-15：github.com/GHEC 彻底关闭 HTTPS 中 SHA-1 支持；GHES 不受本次变更影响
- 09-24：高风险账号操作强制要求存在性证明 Proof of presence，提升账号劫持防护；安全实验室发布 AI 模糊测试 Taskflow Agent
- 09-28：GitHub 安全实验室开源 AI 安全 Agent，在安卓项目批量挖掘 24 个漏洞（技术博客）
- 09-29：Dependabot 支持自定义仓库 Runner 设置
- 09-30：npm 可信发布新增可选 dist-tag 权限，精细化控制 npm 包标签权限
GitHub Actions & CI/CD
- 09-03：9 月上旬 Actions 更新，配套 CodeQL 2.26.4
- 09-10：Actions Cache 新增
cache-mode访问控制；macOS 27 runner 镜像（Xcode27）上线 - 09-17：Workflow 执行保护机制 GA，可限制工作流触发权限，提前预览受影响仓库，2026-11-02 强制启用默认规则
- 09-24：过期 Artifact 不再在 UI/API 展示，减少无效数据；CodeQL 2.27.1，新增 C/C++ 查询规则、Kotlin 2.4.20 支持
- 09-28：自托管 Runner 最低版本强制截止日期调整（GHEC）：>=2.329.0；9 月 29 日正式强制；GHES 不受影响；提供 Runner 版本弃用 REST API 用于自动化巡检
企业治理、迁移、计费（GHES、GHEC、企业权限）
- 09-01：GHES 到 GHEC DR 企业在线实时迁移 ELM GA，近零停机迁移大型单体仓库；支持 GHES 多版本源端（3.17.18+、3.18.12+、3.19.9+、3.20.3+、3.21.3+、3.22.0+），gh elm CLI 驱动
- 09-08 GHES 3.22 GA（自托管服务器）
- 空气隔离断网环境支持 Copilot CLI（技术预览）
- Enterprise Teams GA：跨组织统一用户权限管理
- 仓库规则集支持强制指定 PR 评审人，支持文件 / 分支路径模式匹配，可搭配 CODEOWNERS
- Secret scanning 审批请求支持按时间排序
- Issue 侧边栏直接显示关联 Release / 预发布版本标签
- 09-16：企业可配置 SSO 自动授权经典 PAT 与 SSH 密钥，减少长期静态密钥风险
- 09-21：企业凭证清单导出功能 GA，导出组织内 PAT、SSH 密钥清单用于审计
- 09-29：GitHub 开发者政策更新 + 透明度报告发布；平台治理新增外部自定义属性，可给仓库 / 组织挂载业务元数据
- 09-30：公告：GHEC DR（ghe.com）自 2026-10-07 起不再仅接受 X25519 密钥协商；客户端必须同时支持 P-256/P-384 椭圆曲线算法，仅 X25519 的代理 / 老 TLS 库会连接失败
重大退役 / 弃用公告（Deprecation / Retirement）
9 月内发布或 9 月内生效的退役事项
- 09-10：MAI-Code-1-Flash（Copilot 模型）正式废弃
- 09-15：GitHub HTTPS SHA-1 签名支持下线（生效）
- 09-22：全平台一体 CodeQL 包
codeql-bundle.tar.gz标记废弃；2027 年 3 月中旬彻底移除，改用操作系统 / 架构独立分发包；Linux ARM64 仅在平台独立包提供 - 09-28：GHEC 自托管 Runner 最低版本强制日期变更，9 月 29 日强制执行，低于 2.329.0 无法注册 / 运行任务
运维事件 & 安全补丁
- 09-22 GHES 3.22.1 安全补丁发布
- CVE-2026-77987：高危未认证端口探测漏洞，可通过 Notebook Viewer URL 探测内部服务，存在信息泄露风险，部分场景可 RCE
- 高风险 Markdown XSS 漏洞：恶意 Markdown 注入 HTML 属性实现会话劫持；GHES 3.22 实例必须升级至 3.22.1
9 月月度要点总结
- Copilot 主线：多模型上新、Agent 细粒度企业管控、本地沙箱 GA、内容排除规则 GA；旧模型 MAI-Code-1-Flash 下线
- 企业侧：GHES3.22 正式发布，ELM 在线迁移 GA，自托管空气隔离环境可用 Copilot CLI；企业凭证审计导出、SSO 自动授权静态密钥
- 安全：密钥泄露 PR 阻断 GA、HTTPS SHA1 下线、高风险操作增加存在性校验；GHES 3.22 存在高危漏洞，需升级 3.22.1
- Actions：Workflow 执行保护 GA，自托管 Runner 版本强制升级，Cache 新增访问控制
- 平台协作：新版 PR 页面 GA，Issue 新增 Relates to 关联能力，Issue 私有视图 GA