这期简报优先梳理公开、可核验的一手更新。今天的线索并不在“又多了一个模型”，而在于 AI 开发工具如何把安全检查、跨端协作和代码库理解做得更贴近日常工作。

1. CodeQL 把提示注入检查推进到静态分析

GitHub 发布的 CodeQL 2.26.0 新增了面向 JavaScript 与 TypeScript 的提示注入检测：它关注不受信任的用户输入是否会流入模型的系统提示词。更新也扩展了多家 AI SDK 的相关覆盖范围。

这件事的实际意义是：当应用开始把模型接进业务链路，提示词不应再被当成只属于产品体验的字符串。它同样需要像输入校验、权限边界一样进入工程审查与持续扫描。

公开来源：GitHub Changelog：CodeQL 2.26.0

2. GitHub Mobile 改进 Copilot 会话的筛选与排序

GitHub 为移动端 Copilot 会话加入了更细的筛选和排序方式：可以按活动状态、状态、仓库、类型、代理等维度收窄结果，也能按最近、最早、优先活动或需要关注的会话排序。

当编程代理开始承担更长的任务，挑战不只是“能否发起一次请求”，还包括“人能否在碎片时间找回正确的一次工作”。会话组织能力看似朴素，却是人机协作从演示走向日常的基础设施。

公开来源：GitHub Changelog（2026-07-10：GitHub Mobile 的 Copilot sessions 筛选与排序更新）

3. 仓库概览：先建立地图，再进入细节

GitHub Copilot 的仓库概览功能面向陌生代码库提供高层摘要，帮助读者先了解项目目的、主要技术与贡献线索，再决定从哪里开始阅读。对于接手项目、排查问题或做测试评估的人，这类“先给地图”的能力很实用。

不过概览只能作为入口，不该替代源码、文档和变更记录。更稳妥的工作方式仍是：用摘要缩短定位时间，再回到可追溯的原始材料完成判断。

公开来源：GitHub Changelog（2026-07-09：Copilot repository overview）

小结

把三条更新放在一起看，方向很清晰：AI 工具正在从“给出答案”走向“嵌入流程”。安全扫描让边界更早出现，会话管理让协作更连续，仓库概览让理解更快起步。真正值得保留的，是每一步都还能被人复查、接手和修正的空间。