三位 Java Champion 如何用 GitHub Copilot 提升生产力
三位拥有十余年 Java 经验的 Java Champion 分享了在生产与开源项目中使用 GitHub Copilot 的实践。Vlad Mihalcea 借助 Copilot 将 Hypersistence Optimizer 新功能开发从数周缩短至两天，并用 65 篇文章训练自定义技能模仿其写作风格。
#GitHub
教程GitHub Blog · AI & MLAI 评分2525
威胁情报The Hacker NewsAI 评分6565 OVHcloud CLI 五个版本被劫持用于分发窃密恶意软件
攻击者利用一名贡献者的 GitHub 账号，替换了 OVHcloud 命令行工具五个既有版本的下载归档，替换文件被设计为窃取运行机器磁盘上存储的密钥信息。OVHcloud 称这些文件在 GitHub 上存活了最长 94 分钟，时间为 UTC 12:47 至 14:21。
威胁情报The Hacker NewsAI 评分6565 GhostAction 攻击者在 94 个 GitHub 仓库植入伪装成字体的窃密程序
GhostAction 供应链攻击的行动者已将手法扩展到在 94 个 GitHub 仓库中植入伪装成字体文件的窃密程序，并借此对开源开发者实施钓鱼。OpenSourceMalware 称，攻击者此前通过向被入侵项目注入恶意 GitHub Actions 工作流实施攻击，此次变化显示其正根据应对措施调整作案方式。
教程GitHub Blog · AI & MLAI 评分3838 如何在 VS Code 中继续 GitHub Copilot 应用会话
GitHub Copilot 应用中的会话可直接通过“Open in VS Code”在 VS Code 中打开，保留任务、计划和对话上下文，并沿用同一 worktree。用户可在 VS Code 中逐行审查 diff、手动修改代码、用集成终端运行测试并在本地验证，最后提交并推送到该会话关联的 pull request。
威胁情报The Hacker NewsAI 评分7070 GhostAction 攻陷约 1,900 个 GitHub 账号，波及逾 3 万个仓库
GitGuardian 观测到凭证窃取活动 GhostAction 在 2026 年 10 月 8 日至 9 日规模上升，波及 3,000 名用户和组织名下的 3 万多个仓库。研究人员称，攻击者攻陷约 1,900 个 GitHub 账号，并试图从公共仓库的 CI 中提取 3,174 个密钥。
安全通报The Hacker NewsAI 评分7373 GitHub 收紧 npm 可信发布：漏洞曾致 1500 多个包可被劫持
GitHub 对新建的 npm 可信发布配置实施 48 小时过期机制，未在两天内完成首次成功发布的配置将失效，同时 npm 不再接受来自 GitHub Actions issue_comment 事件的可信发布 token。
安全实践GitHub Blog · AI & MLAI 评分4040 GitHub 用 ModernBERT 分类器重构密钥扫描：误报减少、成本降 98%
GitHub 为密钥扫描训练了专用的 ModernBERT 分类器，替代此前的 LLM 流水线，在保持正则候选召回的基础上结合文件路径、变量名和上下文判断是否为真实凭据。该方案使推送后扫描中位执行时间缩短 86%、服务成本降低逾 98%，用户对告警的接受度提升 11.5%，并让通用密钥检测得以扩展到推送保护阶段。
教程GitHub Blog · AI & MLAI 评分3030 GitHub Copilot 入门：如何让 Copilot 了解你的代码库
GitHub Copilot 可通过四种方式定制项目上下文：用 .github/copilot-instructions.md 定义仓库级规范，用 .github/instructions 配合 applyTo 字段做路径级指引，用 .github/skills 下的 SKILL.md 封装可复用流程，用 .github/agents 创建专用自定义智能体。
威胁情报The Hacker News精选AI 评分8080 GhostAction 攻击向数万 GitHub 仓库植入窃取凭据的 Actions 工作流
StepSecurity 与 Socket 披露，GhostAction 供应链攻击活动通过两个开源维护者账号，将恶意 GitHub Actions 工作流推送到 340 多个仓库，Socket 称自 2026 年 10 月 7 日以来已有 500 多个 GitHub 账号向数万仓库提交该工作流。
推荐理由：梳理 GhostAction 供应链攻击的完整链路与受影响范围，可供开发者排查仓库与轮换凭据时参考。
综合新闻Simon WillisonAI 评分1212 Python 3.15.0 加入 actions/python-versions
Python 3.15.0 已被加入 actions/python-versions，现在可以在 GitHub Actions 测试矩阵中填入 "3.15" 来对新版 Python 运行测试。作者此前等待了数日，甚至让 ChatGPT 每小时拉取一次仓库以确认稳定版 3.15 是否上线。
威胁情报BleepingComputerAI 评分6262 FakeGit 恶意活动回归，GitHub 上 17,610 个恶意仓库分发 SmartLoader
软件供应链安全平台 Apiiro 报告称，FakeGit 活动于 10 月 4 日重新活跃，在 GitHub 上使用 17,610 个仓库分发 SmartLoader，进而投放 StealC 等信息窃取程序。
产品GitHub Blog · AI & ML精选AI 评分6262 GitHub 推出 ModernBERT 密钥检测分类器，扩展推送保护
GitHub 发布基于 ModernBERT 的通用密钥检测分类器，用代码上下文识别无固定格式的密钥，可在 2 毫秒内评估一批候选密钥，据称能把可拦截的密钥数量提升一倍以上。
推荐理由：GitHub 公开了九季度密钥泄露数据与自研分类器的落地节奏，可据此判断 AI 编码提速后密钥防护的可行路径。