GitHub 進化為 AI Agent 執行工作空間：Copilot 編碼 Agent 與獨佔 macOS Runner 協同 Runbook

GitHub 過去十年所扮演的角色，是把程式碼、issue、PR、Actions 與權限模型整合成面向人類協作的圖譜：人寫程式碼、人開 PR、人審 PR、流水線綠燈後人合併。2025–2026 的關鍵變化是「寫程式碼」這個動作的執行主體正在改變，儲存庫從「程式碼倉」演化為「Agent 的執行沙箱」。

三類產品形態共同推動此次遷移：Copilot 編碼 Agent（cloud agent）以 Issue 或 Chat 提示為入口，在 Actions 上啟動獨立 VM、檢索儲存庫、規劃工作、推 draft PR；.github/agents/ 自訂 Agent 讓團隊聲明多個專長角色（效能優化、撰寫測試、文件維護）；Agentic Workflows（gh-aw 技術預覽） 把 .github/workflows/ 內的自然語言 Markdown 編譯為 Actions YAML，再由 Copilot / Claude / Codex 在沙箱中跑事件驅動的常駐任務。

三層疊加之後，GitHub 的產品語意已從「人寫程式碼 → 儲存庫存放程式碼」演化為「人寫目標 → Agent 於儲存庫內執行 → 人審 draft PR → CI/CD 觸發部署」。理解這次遷移，比單純追逐單一工具更重要；與之配套的算力契約（自代管 Runner、獨佔 Apple Silicon 節點）就成為新底座。

不少團隊直接把 Copilot 編碼 Agent 或 Claude Code 接在 GitHub-hosted Runner 上跑，短期省事，長期會撞上四類成本：

• 分鐘池 × Agent 長任務：Agent 任務常須重複編譯、單元測試與安全掃描，單個 Job wall time 動輒 30 分鐘以上；分鐘計費再疊加鄰居編譯雜訊，月度帳單呈非線性上漲，比純人工 CI 時代更陡。
• 簽署素材外洩風險：Agent 在共用 Runner 上能看到 secrets 注入；一旦遇到 prompt injection 或惡意相依，簽署憑證與描述檔便有外流通道。GitHub 提出 SafeOutputs MCP Gateway、Agent Workflow Firewall（AWF）與 threat detection job，正是為了把 Agent 的寫權限從執行環境物理切開。
• 「人審 draft PR」流量不可預期：Agent 一晚能開出數十個 draft PR，若沒有 AGENTS.md 與自訂 Agent 收斂規則，審查者會被淹沒。GitHub 預設要求 draft PR 需經人工核可才能觸發 CI/CD，是一道明確的「人在迴路」開關。
• Apple Silicon 資源被低估：iOS/macOS 專案讓 Agent 跑 Xcode、模擬器、TestFlight 上傳，需要 DerivedData、簽署 keychain、版本釘死的 Xcode；這些訴求在通用雲 macOS Runner 上又貴又慢，獨佔節點反而更便宜也更可稽核。

把這些痛點寫進評審，結論清晰：Agent 執行工作空間需要專屬算力 + 顯性安全契約，不能用通用 Runner「湊合跑」。

下表用工程視角對齊三個常被混淆的產品概念，便於團隊在評審時挑選合適的入口：

三層並不互斥——成熟團隊會把 Copilot 編碼 Agent 當作「寫程式碼用」的總入口；用 .github/agents/ 約束角色（測試 Agent、效能 Agent、文件 Agent）；再用 Agentic Workflows 做事件驅動的常駐 Agent（CI 紅燈就分析、有 issue 就分流）。這套組合把 GitHub 完整變成「事件 → Agent → 受控寫回」的執行平面。

任何「讓 Agent 直接動你儲存庫」的方案，安全契約都比模型選型更重要。GitHub Agentic Workflows 把這一層顯性化，值得遷移到自建工作流時直接借鑒：

• SafeOutputs MCP Gateway：Agent 不直接呼叫 GitHub API；它把「想做的寫操作」聲明給 MCP Gateway，Gateway 緩存為 artifact；Agent 退出後，由另一組具寫權限的 Job 校驗、過濾、限流後再去執行。Agent 主體始終是唯讀 + 無 secrets。
• Agent Workflow Firewall（AWF）：把 Agent 裝在獨立容器中，透過 iptables + Squid 代理控制 egress，按網域 allowlist 放行；阻止 prompt injection 後的資料外洩與外部 C2。
• Threat Detection Job：Agent 提交的 patch 在落盤前，由另一個安全側 Agent 掃一遍 prompt injection / 憑證外洩 / 惡意程式碼模式；任何嫌疑直接 fail 工作流。
• Branch Protection + 人工審核：Copilot 編碼 Agent 只能 push 它自己建立的分支；draft PR 必須經人工核可才會觸發 CI/CD。換言之，部署鏈路上「人」依然是 fail-safe 閥門。

OpenAI、Cursor、Jules、Amp、Factory 於 2025 年共建的 AGENTS.md 規範，是 Agent 執行工作空間的「人類側契約」。它在儲存庫根目錄提供一份「給 Agent 看的 README」，約定專案結構、建置指令、測試指令、風格約束、安全注意事項：

• 多層級解析：子目錄可放自己的 AGENTS.md，Agent 取「離被修改檔案最近」的那一份；OpenAI 自家主儲存庫目前已有 88 份。
• Must-follow / Should 分層：必遵守 vs 建議性，Agent 行為收斂。可寫「禁止在 main 上 commit」「Xcode 16.2 釘版」這類硬規則，也可寫「優先使用 Swift Testing」這類軟偏好。
• 與 README 互補：README 面向人類與外部貢獻者，AGENTS.md 面向 Agent；建置步驟、長上下文規則、安全 gotcha 都應寫進 AGENTS.md。
• 與 Copilot CLI 相容：JetBrains 與 VS Code 的 Copilot CLI Agent 已支援全域 ~/.copilot/agents/.agent.md，團隊規範與個人偏好可分層。

落到 iOS/macOS 專案，AGENTS.md 應寫明：Xcode 版本釘死指令、xcodebuild 入口、簽署前置指令、-strict-concurrency=complete 等門禁、獨佔 Runner label 與磁碟根目錄、嚴禁觸碰的目錄與檔案。規則越顯性，Agent 越不會「自由發揮」。這與既有 NUKCLOUD 獨佔 Apple Silicon 節點 Runbook 中「凍結基線、SSH 基線、快取分桶、簽署隔離」的清單一脈相承——AGENTS.md 是這套清單的Agent 可讀版本。

下列數字源自常見 iOS/macOS CI + Agent 落地場景的內部對齊數據，請以貴司實測為準：

• Agent 單 Job wall time：Copilot 編碼 Agent 跑「修 bug + 加測試」通常 8–25 分鐘；跑「重構一個模組 + 全量建置」可達 30–90 分鐘。共用分鐘池在發佈高峰排隊 P95 仍是 15–45 分鐘。
• draft PR 節奏：中型團隊啟用 Copilot 編碼 Agent 後，每日新增 draft PR 數較前一階段可成長 2–5 倍；瓶頸由「寫程式碼」前移至「審 PR」，須以 AGENTS.md 與 .github/agents 收斂 Agent 行為。
• SafeOutputs 收益：啟用 SafeOutputs + AWF 後，Agent 主體不持有 GITHUB_TOKEN、secrets 與 MCP API key；threat detection job 拒絕率於內測期約 0.5–2%（多為 prompt injection 誤觸）。
• 獨佔 Apple Silicon 收益：於 NUKCLOUD 獨佔節點為 Agent 工作預留 --concurrent-jobs 2–4，單 Job 全量 xcodebuild wall time 較通用 macOS Runner 通常可縮短 25–40%；DerivedData 快取命中後再降 30–60%。
• 審核成本變化：Copilot 編碼 Agent 於 PR 提交前自跑一次 Copilot Code Review，能壓低「第一輪人工審查耗時」；代價是審查者必須更聚焦於設計意圖與系統邊界，而非語法層細節。

下面提供一套與獨佔 Apple Silicon Runner 搭配的最小可執行 Runbook，照順序落地即可，不必一上線就追求全端完美：

1. 01
   撰寫一份 AGENTS.md：儲存庫根寫 Must-follow（Xcode 版本、建置指令、嚴禁目錄、Branch Protection）+ Should（風格、提交格式）；子目錄按需追加；OpenAI Codex / Cursor / Copilot CLI 皆可解析。
2. 02
   聲明 .github/agents/ 自訂 Agent：至少宣告三個角色——測試 Agent（只動 *Tests*、跑全量單元測試）、文件 Agent（只動 .md、changelog）、效能 Agent（先 benchmark 再改）；以 prompt 約束工具呼叫範圍與必經步驟。
3. 03
   接入 Agentic Workflows（gh-aw）：以 Markdown 寫 issue 分流、CI 失敗自動修復、文件巡檢；啟用 SafeOutputs，Agent 主體保持唯讀，所有寫操作走受限 Job。
4. 04
   登記獨佔 Apple Silicon Runner：於 下單頁 開通 NUKCLOUD 獨佔節點，註冊為 self-hosted Runner，貼上 agent-macos、xcode-16、signing-isolated 等 label；簽署 keychain 僅掛給「寫權限 Job」。
5. 05
   鋪設安全契約：於節點上加 Squid + iptables 複刻 AWF；secrets 全部走 OIDC + 雲端 KMS，讓 Agent 容器無法直接讀到；draft PR 必須人工核可才進入 CI/CD。
6. 06
   審核迴圈與 KPI：每週覆盤「draft PR 數 / 審查耗時 / 人工駁回率 / threat detection 命中率」，依 KPI 微調 AGENTS.md 與自訂 Agent prompt；與 Swift 6 嚴格並發 CI 門禁 Runbook 中的「分階段、可回滾」節奏搭配。

下表用於評審對齊，具體數字由財務與網路團隊填入貴司版本：

這張表的關鍵不是「誰更便宜」，而是「Agent 執行工作空間能不能被舉證」——獨佔節點可以把 SafeOutputs、AWF 與人工審核紀律落實到具體節點與 Runner label，不止於口號。