GitHub 的秘密检测模型：以更少噪声发现更多秘密
GitHub 推出了基于微调 ModernBERT 的两阶段秘密扫描器，结合正则表达式候选生成与上下文感知分类来区分真实凭证与相似字符串。相比之前的 LLM 管线，新管线将推送后扫描执行时间中位数降低 86%，服务成本降低超过 98%，仓库所有者加权接受率提高 11.5%。
#GitHub
#GitHub
今日 0 条GitHub Blog · AI & MLAI 评分5555
GitHub Blog · AI & ML精选AI 评分6363 GitHub Copilot 新手教程：如何让 Copilot 了解你的代码库
GitHub 官方博客介绍了四种让 Copilot 理解项目规范的方式：仓库自定义指令、智能体技能、自定义智能体和 MCP 服务器。
推荐理由：文章把定制 Copilot 的方式拆成自定义指令、技能、自定义智能体和 MCP 服务器四类，读者可对照自己的仓库逐项落地。
GitHub Blog · AI & ML精选AI 评分6868 GitHub：密钥防护必须与软件规模同步增长
GitHub 推出与 Microsoft Applied Sciences 联合微调的 ModernBERT 分类器，把推送防护扩展到非结构化密钥，可在 2 毫秒内评估候选密钥，可使可阻止的密钥数量增加一倍以上。
推荐理由：原文用九个季度的数据说明开发者并非变得更粗心，而是被代码产出速度超过，并介绍了新分类器如何把推送防护扩展到非结构化密钥。
GitHub Blog · AI & ML精选AI 评分6565 GitHub 发布 ReviewBench：开放的 AI 代码审查基准
GitHub 构建并公开了 ReviewBench，一个面向 AI 代码审查智能体的离线基准。它基于 103.9M 个 GitHub pull request 的语言与仓库规模分布，包含来自 187 个开源仓库的 219 个 PR、覆盖 19 种语言，使用 Claude Sonnet 5 作为判官并公开评测规则，高级工程师独立标注与基准一致率达 96.6%。
推荐理由：GitHub 公开了基准数据集、评测方法与提交入口，读者可据此评估自己的代码审查智能体并横向对比不同系统。
Kimi · 官方博客AI 评分5555 Kimi 团队发布 PerceptionBench 基准，评估多模态大语言模型的原子视觉感知能力
Kimi 团队发布 PerceptionBench，一个评估多模态大语言模型原子视觉感知能力的基准，从 42 个基准的前沿模型失败案例中归纳出 10 项原子感知能力，并从 17,000+ 道内部题库中抽取 3,000 道经验证题目。
GitHub Blog · AI & MLAI 评分5959 GitHub Copilot app 初学者教程：如何用 canvases 构建自定义工作流
GitHub 官方博客介绍了 GitHub Copilot app 的 canvas（也叫 canvas extension）：一种用户与 agent 双向共享的可定制界面，可以是看板、问题分流板、发布清单或表格。
GitHub Blog · AI & ML精选AI 评分6565 GitHub Security Lab 开源 Fuzzing Taskflow，用 LLM 智能体自动完成 C/C++ 模糊测试全流程
GitHub Security Lab 开源 Fuzzing Taskflow（github.com/GitHubSecurityLab/seclab-taskflows-fuzzing）。
推荐理由：原文给出了把模糊测试循环交给 LLM 智能体的完整设计，读者可迁移到自己的安全自动化流程中。
Microsoft ResearchAI 评分5555 RetroChimera 提升大规模小分子合成预测能力
Microsoft Research 团队在 Nature 发表论文，提出逆合成预测框架 RetroChimera，并以 MIT 许可开源实现与权重。该框架用学习式重排序融合 R-SMILES 2 与 NeuralLoc 两个互补子模型，盲测中博士级化学家更偏好其反应预测，十个挑战性目标上成功九个，优于各基线模型。
GitHub Blog · AI & MLAI 评分5151 GitHub 拆解五个 AI 热门断言：该读代码吗、RAG 死了吗、Skills 杀死 MCP 了吗
GitHub Podcast 最新一期逐条拆解五个常见 AI 断言，主张仍需审查 AI 生成代码，只是按风险分配注意力。RAG 并未死，好的检索让模型更接近答案；Skills 与 MCP 解决不同问题，前者打包专业知识、后者提供标准工具接口，可以并用。作者还指出代码库让模型和新队友都困惑时，应视为可维护性问题。
字节跳动技术团队AI 评分5959 从“做过”到“会做”：用 OpenViking 经验记忆构建 Agent 的进化闭环
字节跳动开源的 Agent 上下文数据库 OpenViking 推出经验记忆能力，从任务执行轨迹中提炼可复用的方法、检查项与风险边界，供相似任务跨会话检索复用。
GitHub Blog · AI & ML精选AI 评分6767 GitHub 营销运营即代码，用 GitHub Copilot 把活动从筹备到跟进全自动化
GitHub 日韩市场营销负责人用 GitHub Copilot 把活动从筹备到跟进全流程自动化：一个 GitHub Issue 加上 event-setup 标签即可触发 GitHub Actions 完成落地页复制、UTM 链接生成、邀请邮件草稿和项目板更新。
推荐理由：作者用 Issue 表单加标签触发 GitHub Actions，并把流程写成 SKILL.md，为各类重复性工作提供了可直接照搬的自动化思路。
GitHub Blog · AI & MLAI 评分5555 GitHub Copilot 应用入门教程：使用 diff、终端与浏览器面板
GitHub 官方博客介绍了 GitHub Copilot 应用内置的 diff、终端和浏览器三个面板，可在应用内完成审查变更、运行命令与预览界面。三个面板并排后无需在编辑器、终端和浏览器之间切换，还能用 Pick & Polish 工具选中页面元素让智能体调整，确认后直接创建 pull request。
GitHub Blog · AI & ML精选AI 评分7171 GitHub 推出 Project HydraFusion 研究预览，通过多模型编排实现前沿质量
GitHub 推出 Project HydraFusion 研究预览，GitHub Copilot 全套餐用户可通过 Copilot CLI 的 /experimental 入口体验。
推荐理由：原文给出三种执行模式与三个基准的成本质量对比，可据此判断多模型编排在自己工作流中的可行性。
腾讯技术工程AI 评分6363 CubeSandbox v0.7.0 发布：沙箱跨机流动，集群平滑演进
腾讯云开源的 CubeSandbox 发布 v0.7.0，新增跨机暂停恢复、组件多版本共存、网络子系统重构与控制面运维分离四大核心特性。跨机暂停恢复基于 S3 后端把沙箱内存与文件系统状态落到共享对象存储，组件多版本共存则让升级不再作废存量模板与快照。
腾讯混元 · 官方公众号AI 评分6464 3.3GB 压到 440MB，混元极低 bit 翻译模型跑进直播弹幕
腾讯混元把 Hy-MT2-1.8B 翻译模型用 2-bit 与 1.25-bit 两套方案压缩至 574MB 和 440MB，翻译质量几乎无损，并联合英特尔完成 x86 算子适配、联合哔哩哔哩接入直播弹幕实时翻译。
腾讯安全应急响应中心AI 评分6767 腾讯朱雀实验室剖析 Memory Heist 攻击链并给出 A.I.G 检测方案
腾讯朱雀实验室剖析 Memory Heist 攻击，攻击者通过伪造 Cloudflare 验证页面注入提示词，诱导 Agent 将记忆中的数据逐字符编码到 URL 路径，以连续 HTTP 请求外泄到攻击者服务器，用户与常规安全设备均难以察觉。
云鼎实验室AI 评分6868 2026安全新趋势：AI Agent以三种角色进入攻击链
腾讯安全发布 2026 年上半年云上攻击面趋势观察，指出 AI Agent 正以攻击工具、攻击入口和高权限执行载体三种角色进入真实攻击链。
腾讯安全威胁情报中心精选AI 评分7979 Claude Code 源码泄露遭利用，GitHub 伪装仓库投毒分发 PureLogs 等窃密木马
2026年3月31日，Anthropic 的 Claude Code 因打包错误泄露约 51.3 万行 TypeScript 源码，攻击者在 48 小时内于 GitHub 搭建伪装仓库 leaked-claude-code 并借 SEO 劫持投毒。
推荐理由：原文完整还原了从伪装仓库到多款商业窃密木马的攻击链，并给出可直接落地的 IOC 清单与防御建议。
腾讯安全威胁情报中心AI 评分7474 OpenClaw 近期安全漏洞修复汇总报告
腾讯安全科恩实验室回溯 OpenClaw 的 GitHub 提交记录，发现 2026.3.22 之前版本存在插件执行、权限提升与鉴权绕过等系统性安全缺陷，整体风险等级为严重，目前均已在 2026.3.24 中修复。
腾讯安全威胁情报中心精选AI 评分7676 腾讯安全追踪 FakeGit 伪造开源生态投毒活动
腾讯安全威胁情报中心披露 FakeGit 投毒活动：攻击者在 GitHub 批量伪造 AI 开发工具与爬虫仓库，诱导 OpenClaw 等 AI Agent 自主安装，最终投放 StealC 窃密木马。载荷寄生在合法 LuaJIT 解释器中，结合进程镂空与 Polygon 区块链合约动态解析 C2，4 个月内已轮换 9 个 C2 地址。
推荐理由：原文完整拆解了针对 AI Agent 自主安装链的开源投毒攻击，可帮助开发者和安全团队重新审视组件信任边界。