2026 年的 GitHub 已经不再只是「代码托管平台」：把一个 Issue 分配给 Copilot，它会在 GitHub Actions 上启动一台独立 VM，clone 仓库、用 RAG 检索结构、规划任务、逐 commit 推到 draft PR，再自我跑一遍 Copilot Code Review 与安全扫描。Cursor、Claude Code、Codex 以类似方式接入。研发协作的主轴正在迁移——人写目标、人写规则、人审结果，仓库本身成为 Agent 的执行工作空间。本文沿 GitHub 三层产品形态（Copilot 编码 Agent / .github/agents/ / Agentic Workflows）梳理这次范式迁移，并给出与独占 Apple Silicon Runner 协同的六步 Runbook。
00范式迁移：从代码托管到 AI Agent 执行工作空间
GitHub 过去十年的角色，是把代码、issue、PR、Actions 与权限模型组成一张面向人类协作的图：人写代码、人发 PR、人审 PR、流水线跑通后人合并。2025–2026 的变化在于「写代码」这一动作的执行主体正在变成 Agent，仓库从「代码仓」演化为「Agent 的执行沙箱」。
三类产品形态共同推动这次迁移：Copilot 编码 Agent（cloud agent）以 Issue 或 Chat 提示为入口，启动 Actions 上的独立 VM、检索仓库、规划任务、推 draft PR；.github/agents/ 自定义 Agent让团队声明多个专长角色（性能优化、写测试、文档维护）；Agentic Workflows（gh-aw 技术预览）把 .github/workflows/ 中的自然语言 Markdown 编译成 Actions YAML，由 Copilot / Claude / Codex 在沙箱里跑事件驱动的常驻任务。
三层叠加后，GitHub 的产品语义已经从「人写代码 → 仓库存代码」演化为「人写目标 → Agent 在仓库内执行 → 人审 draft PR → CI/CD 触发部署」。理解这次迁移，比追单个工具更重要；与之配套的算力契约（自托管 Runner、独占 Apple Silicon 节点）也由此成为新底座。
痛点把 Agent 挂在分钟池上跑的四类隐性成本
许多团队把 Copilot 编码 Agent 或 Claude Code 直接挂在 GitHub-hosted Runner 上跑，短期看似省事，长期会撞上四类成本：
- 分钟池 + Agent 长任务相乘：Agent 任务往往要反复编译、跑单测与安全扫描，单 Job wall time 拉长到 30 分钟以上；分钟计费叠加邻居编译噪声，月度账单非线性上涨，比纯人工 CI 时代陡得多。
- 签名物料外泄风险：Agent 在共享 Runner 上能看到 secrets 注入；一旦遭遇 prompt injection 或恶意依赖，签名证书与描述文件存在外流通道。GitHub 推出 SafeOutputs MCP Gateway、Agent Workflow Firewall（AWF）与 threat detection job，根本目的就是把 Agent 的写权限从执行环境物理切开。
- 「人审 draft PR」流量不可预测：Agent 一晚上能开几十个 draft PR，若没有 AGENTS.md 与自定义 Agent 收敛规则，评审者会被淹没。GitHub 默认要求 draft PR 必须人工审核后才能触发 CI/CD，是一道明确的「人在回路」开关。
- Apple Silicon 资源被低估：iOS/macOS 项目让 Agent 跑 Xcode、模拟器、TestFlight 上传，需要 DerivedData、签名 keychain、版本钉死的 Xcode；这些诉求在通用云 macOS Runner 上既贵又慢，独占节点反而更便宜也更可审计。
把这些痛点写进评审，会得到一个明确结论：Agent 执行工作空间需要专属算力 + 显性安全契约，而不是用通用 Runner「凑合跑」就完事。
01GitHub 三层 Agent 产品形态对照
下表用工程视角对齐三个常被混淆的产品概念，便于在团队评审时挑选合适的入口：
| 形态 | 触发方式 | 执行环境 | 主要产物 | 适用场景 |
|---|---|---|---|---|
| Copilot 编码 Agent（cloud agent） | Issue 分配 / Copilot Chat / gh CLI | Actions 上的独立 VM，RAG 检索仓库 | draft PR + 自我 Code Review + 安全扫描 | 给 Agent 一个 Issue，让它独立交付一份可审改动 |
.github/agents/ 自定义 Agent | 在仓库内声明角色与流程 | 同上，但按角色定制工具链与 prompt | 同上，可附带 benchmark 报告、性能对比 | 把团队的「人类 Runbook」固化成 Agent 行为 |
| Agentic Workflows（gh-aw） | 任何 Actions 事件（issue / PR / schedule / comment） | Markdown 编译为 Actions YAML，Copilot / Claude / Codex 沙箱执行 | 经 SafeOutputs 受限写回的 issue / comment / label / branch / PR | Issue triage、CI 失败根因、文档维护、合规巡检 |
三层并不冲突——更成熟的团队会把 Copilot 编码 Agent 当作「写代码用」的总入口；用 .github/agents/ 约束角色（写测试 Agent、性能 Agent、文档 Agent）；再用 Agentic Workflows 做事件驱动的常驻 Agent（CI 红灯就分析、有 issue 就 triage）。这套组合把 GitHub 完整变成「事件 → Agent → 受控写回」的执行平面。
02工作空间安全契约：SafeOutputs / AWF / 人工审核
任何「让 Agent 直接动你仓库」的方案，安全契约都比模型选型重要。GitHub Agentic Workflows 把这一层显性化，值得迁移到自建工作流时直接借鉴：
- SafeOutputs MCP Gateway：Agent 不直接调用 GitHub API；它把「想要做的写操作」声明给 MCP Gateway，Gateway 缓存为 artifact；Agent 退出后由另一组带写权限的 Job校验、过滤、限流后再去执行。Agent 主体始终是只读 + 无 secrets。
- Agent Workflow Firewall（AWF）：把 Agent 装在独立容器，通过 iptables + Squid 代理控制 egress，按域名 allowlist 放行；防止 prompt injection 后的数据外泄与外部 C2。
- Threat Detection Job：Agent 提交的 patch 在落盘前，由另一个安全侧 Agent 扫一遍 prompt injection / 凭据泄漏 / 恶意代码模式；任何嫌疑都直接 fail 工作流。
- Branch Protection + 人工审核：Copilot 编码 Agent 只能 push 它自己创建的分支；draft PR 必须人工审核才会触发 CI/CD。换言之，部署链路上「人」依然是 fail-safe 阀门。
03AGENTS.md：仓库即 Spec，让 Agent 不再「猜规范」
OpenAI、Cursor、Jules、Amp、Factory 在 2025 年共建的 AGENTS.md 规范，是 Agent 执行工作空间的「人类侧契约」。它在仓库根目录提供一个给 Agent 看的 README，约定项目结构、构建命令、测试命令、风格约束、安全注意。
- 多层级解析：子目录可放自己的 AGENTS.md，Agent 取「离改动文件最近」的那一份；OpenAI 自己的主仓库目前有 88 份。
- Must-follow / Should 分层：必遵守 vs 建议性，Agent 行为收敛。可写「禁止在 main 上提交」「Xcode 16.2 钉版」等硬规则，也可写「优先使用 Swift Testing」等软偏好。
- 与 README 互补：README 给人类与外部贡献者，AGENTS.md 给 Agent；构建步骤、长上下文规则、安全 gotcha 都该写进 AGENTS.md。
- 与 Copilot CLI 兼容：JetBrains 与 VS Code Copilot CLI Agent 已支持全局
~/.copilot/agents/.agent.md，团队规范与个人偏好可分层。
落到 iOS/macOS 项目，AGENTS.md 应写明：Xcode 版本钉死命令、xcodebuild 入口、签名前置脚本、-strict-concurrency=complete 等门禁、独占 Runner label 与磁盘根目录、严禁触碰的目录与文件。规则越显性，Agent 越不会「自由发挥」。这与既有 NUKCLOUD 独占 Apple Silicon 节点 Runbook 中「冻结基线、SSH 基线、缓存分桶、签名隔离」的清单一脉相承——AGENTS.md 是这套清单的Agent 可读版本。
数据评审时可引用的数量级（示例）
下列数字源自常见 iOS/macOS CI + Agent 落地场景的内部对齐数据，贵司应以实测为准：
- Agent 单 Job wall time：Copilot 编码 Agent 跑「fix bug + 加测试」通常 8–25 分钟；跑「重构一个模块 + 全量构建」可达 30–90 分钟。共享分钟池在峰值期排队 P95 仍是 15–45 分钟。
- draft PR 节奏：中型团队启用 Copilot 编码 Agent 后，每日新增 draft PR 数较前一阶段可增长 2–5 倍；评审瓶颈从「写代码」前移到「审 PR」，需要 AGENTS.md 与
.github/agents收敛 Agent 行为。 - SafeOutputs 收益：启用 SafeOutputs + AWF 后，Agent 主体不持有
GITHUB_TOKEN、secrets 与 MCP API key；threat detection job 拒绝率在内测期约 0.5–2%（多为 prompt injection 误触）。 - 独占 Apple Silicon 收益：在 NUKCLOUD 独占节点上为 Agent 任务预留
--concurrent-jobs 2–4，单 Job 全量xcodebuildwall time 较通用 macOS Runner 通常可压缩 25–40%；DerivedData 缓存命中后再降 30–60%。 - 审核成本变化：Copilot 编码 Agent 在 PR 提交前自跑一次 Copilot Code Review，把「第一轮人工评审耗时」压低；代价是评审者要更专注于设计意图与系统边界，而不是语法细节。
04六步 Runbook：把仓库改造成 AI Agent 执行工作空间
下面给出一套与独占 Apple Silicon Runner 配套的最小可执行 Runbook，按顺序落地即可，无需一上线就追求全栈完美：
-
01
写一份 AGENTS.md：仓库根写 Must-follow（Xcode 版本、构建命令、严禁目录、Branch Protection）+ Should（风格、提交格式）；子目录按需追加；OpenAI Codex / Cursor / Copilot CLI 均可解析。
-
02
声明
.github/agents/自定义 Agent：至少声明三个角色——测试 Agent（只动*Tests*、跑全量单测）、文档 Agent（只动.md、changelog）、性能 Agent（先 benchmark 再改）；用 prompt 约束工具调用范围与必经步骤。 -
03
接入 Agentic Workflows（gh-aw）：用 Markdown 写 issue triage、CI failure auto-fix、文档巡检；启用 SafeOutputs，Agent 主体保持只读，所有写操作走受限 Job。
-
04
登记独占 Apple Silicon Runner：在 下单页 开 NUKCLOUD 独占节点，注册为 self-hosted Runner，打上
agent-macos、xcode-16、signing-isolated等 label；签名 keychain 仅挂给「写权限 Job」。 -
05
铺设安全契约：在节点上加 Squid + iptables 复刻 AWF；secrets 走 OIDC + 云端 KMS，让 Agent 容器无法直接读到；draft PR 必须人工审核才进入 CI/CD。
-
06
审核回环与 KPI：每周复盘「draft PR 数 / 评审耗时 / 人工驳回率 / threat detection 命中率」，按 KPI 微调 AGENTS.md 与自定义 Agent prompt；与 Swift 6 严格并发 CI 门禁 Runbook 中的「分阶段、可回滚」节奏配合。
05形态对照：通用云 Runner 跑 Agent vs 独占 Apple Silicon
下表用于评审对齐，具体数字由财务与网络团队填入贵司版本：
| 维度 | 通用 GitHub-hosted Runner + Agent | NUKCLOUD 独占 Apple Silicon + Agent |
|---|---|---|
| 算力形态 | 分钟池排队，邻居噪声 | 裸金属独占，无邻居 |
| Apple Silicon 版本 | 由平台决定，更新窗口窄 | 与 Xcode / macOS 小版本钉死，自控发版节奏 |
| 安全契约 | 依赖平台默认隔离 | 节点侧可自加 Squid / iptables / threat detection |
| 签名物料 | secrets 进入共享 Runner，外泄面广 | 签名 keychain 仅挂给写权限 Job |
| 成本 | Agent 长任务 + 峰值分钟 → 月费陡 | 包月独占，Agent 任务越多越省 |
| 可审计 | 队列与节点对租户不透明 | 节点级日志、网络出口、磁盘占用可观测 |
这张表的关键不是「谁更便宜」，而是「Agent 执行工作空间能不能被举证」——独占节点可以把 SafeOutputs、AWF 与人工审核纪律落实到具体节点与 Runner label，不止于口号。
06常见问题
.github/workflows/ 与 self-hosted Runner 完全兼容。把 Agent 任务路由到独占 Apple Silicon 节点的关键，是给 Runner 打 agent-macos、xcode-16 等 label，并在 AGENTS.md 与自定义 Agent prompt 中显式要求使用这些 label。.github/agents/ 收敛 Agent 行为（限定可改目录、强制跑测试、强制写变更说明）；再用 Agentic Workflows 自动做第一轮 Review（CI 失败自分析、PR 起一份摘要）；最后人类只看「设计意图与系统边界」。Agent 执行工作空间不会让评审消失，而是把评审上移。