GitHub обновил Copilot, Actions и npm-защиту: что изменилось для разработчиков

GitHub выкатил очередную партию изменений — и большая их часть касается не новых «фич ради фич», а того, как ИИ-инструменты и защита цепочки поставок встраиваются в обычные корпоративные процессы: появляются политики, лимиты, настройки по умолчанию для организаций. Собрал главное по трём направлениям — Copilot, Actions и npm.

Copilot code review теперь работает на тех же инструментах для обхода файлов, что и Copilot CLI/SDK — grep, rg, glob, view — вместо собственных самописных утилит. По цифрам GitHub, это снизило стоимость ревью примерно на 20% без потери качества (проверяли и в офлайн, и в онлайн-тестах).

Если вы участвуете в превью среднего уровня анализа (Medium analysis depth), добавилось ещё два момента. Во-первых, в комментарии с обзором пул-реквеста теперь явно пишут, что ревью прогонялось именно на Medium — раньше это было не очевидно. Во-вторых, организация может задать уровень анализа по умолчанию для репозиториев, где он ещё не настроен, а конкретный репозиторий при желании всё равно может этот дефолт переопределить.

Отдельно подъехала настройка для админов — strictKnownMarketplaces в Copilot CLI и VS Code (пока в публичном превью). Она позволяет ограничить установку плагинов только теми каталогами, которые явно разрешены политикой компании. Фактически это белый список источников расширений, который применяется централизованно через корпоративные настройки, а не зависит от того, что каждый разработчик решит себе поставить.

Раньше шаги в workflow выполнялись строго друг за другом, а единственный способ запустить что-то параллельно — фоновый процесс через & в шелле, после которого логи разных шагов превращались в кашу. Теперь это решили нормально: добавили четыре ключевых слова.

background: true — шаг стартует