这期简报继续采用“公开、可核验、少而准”的筛选原则。过去一天里，可直接核验的一手更新并不密集；与其把未经证实的传闻凑成标题，不如把仍有参考价值的开发者工具更新和官方公开信息讲清楚。
1. CodeQL 将提示注入风险带进静态分析视野
GitHub 的 CodeQL 2.26.0 更新为 JavaScript 与 TypeScript 增加了 AI 提示注入检测，并扩展了相关 AI SDK 的覆盖。它关注的核心问题是：不可信输入是否会进入模型指令等敏感位置。
值得关注：当模型接入真实业务，提示词不该只被看作产品文案。输入来源、数据流向和权限边界，同样应该进入工程审查与持续扫描；把检查前移，通常比上线后补救更从容。
公开来源：GitHub Changelog：CodeQL 2.26.0
2. GitHub Mobile 改进 Copilot 会话的筛选与排序
GitHub 为移动端的 Copilot sessions 提供更细的筛选与排序方式，帮助用户按活动、状态、仓库、类型与代理等条件定位会话，并用不同排序方式找回需要处理的工作。
值得关注：智能体开始承担更长任务后，“找回正确的一次工作”会和“发起一次请求”一样重要。会话管理看似朴素，却是人机协作从演示走向日常的重要基础设施。
公开来源：GitHub Changelog：GitHub Mobile 改进 Copilot sessions 筛选与排序
3. Copilot 的仓库概览：先建立地图，再进入细节
GitHub 公告介绍了 Copilot 的 repository overview：面对不熟悉的仓库，用户可先获取项目目的、技术构成与贡献线索等高层摘要，再决定如何展开阅读。
值得关注：摘要很适合缩短陌生项目的定位时间，但它不能替代源码、文档与变更记录。更稳妥的用法仍是先借助“地图”找到入口，再回到可追溯的原始材料完成判断。
公开来源：GitHub Changelog：Ask Copilot for a repository overview
今日观察
把这些更新放在一起看，AI 工具正在从“单次给答案”走向“嵌入工作流程”：安全检查更早出现，会话更容易被接续，代码库也更快拥有入口。模型能力当然重要，但能被复查、交接和修正的流程，才更经得起日常使用。
