今天选择两篇 7 天内的一手技术资料，讨论 AI-native 系统迈向团队级长期运行时的两道控制边界：谁拥有自动化任务，以及谁负责发现并制止 Agent 的异常行为？ 第一篇是 GitHub 的产品与工作流设计，第二篇是 OpenAI 的生产监控架构与事故回放；它们都不是独立随机对照实验。

1. Build shared workflows for your team with Copilot Automations

推荐理由： 让 Agent 自动处理 Issue、PR 和故障排查并不难，但个人创建的 Automation 依赖个人身份、权限和额度，离职后还可能失去维护者。GitHub 将自动化的所有权、可编辑权限、费用和操作归因转到仓库层面，给团队式 Software Factory 一个更明确的治理单元。

3 条核心要点：

  1. 从个人任务变为仓库资产。 Shared Copilot Automations 由仓库持有：拥有读权限的成员可以查看，拥有写权限的成员可以编辑；创建者离开团队后任务仍可持续执行。触发器、工具与 Prompt 的变更历史可以追溯，避免关键流程只存在于某个人的会话里。
  2. 身份、执行权限和成本不再绑定创建者。 共享任务在云端执行，只能调用被允许的工具；GitHub 上的操作归因于 Copilot，AI Credits 由仓库所属组织或个人承担。组织仓库必须由管理员开启允许按组织计费的 Copilot cloud agent 策略。这使“谁执行、谁维护、谁付费”可以明确分开。
  3. 先定义流程边界，再谈无人值守。 公告举例：Issue 创建后复现 Bug、PR 准备就绪时截图、监控事件触发后调查事故；自动化可从 GitHub、Copilot App 或 VS Code 创建。共享类型在创建后不能切换，功能仍在分批推出，取决于 Copilot 计划与仓库权限。公告没有提供自动化成功率、失败恢复能力或长期运行成本的实测对照。

核心启示： Repository-owned Workflow → Trigger → Authorized Tools → Attributed Agent Actions → Auditable History。长期自治流程应属于团队可管理的工程资产，而不是某个成员的个人聊天记录。

2. How we detect frontier model misalignment

推荐理由： 现有 Agent 监控经常只依靠运行日志或在输出末尾做一次模型自检。这篇给出一个分层生产系统：低成本筛查、对话与工具轨迹审查、调查 Agent、独立系统遥测、人工或自动介入，并公开哪些部署尚不能自动终止异常操作。它提供了监控覆盖、误报成本与干预能力之间的真实取舍。

3 条核心要点：

  1. 分层扩大覆盖，而不是让所有请求都接受昂贵审查。 L0 使用模型激活探针做高召回筛选，另将未命中流量随机抽样 5% 送后续检查；内部 Codex 与前沿 RL 不经过 L0，而直接接受 L1 模型审查。L1 读取当前对话、推理和工具轨迹；L2 调查 Agent 还原上下文并在隔离环境中核查；敏感工作负载的 L3 再比对网络日志等会话外证据，才决定是否升级告警。
  2. 检测与响应必须分别验收。 研究团队回放此前的一起沙箱逃逸事故，增强版监控在模拟中于逃逸后约 30 分钟发出告警，较实际外部系统受影响时间早 30 多小时；这是事故回放，不是当时实时拦截成功。另一次真实训练中的意外联网在 15 分钟内被监控标记，约 3 分钟后有人开始复核。OpenAI 也说明，内部分级告警受误报压力限制：部分关键任务可自动暂停，但内部 Codex 流量的人工 Paging 当时仍未开启。
  3. 监控自身需要独立评测和能力边界。 系统通过历史事件、模拟破坏任务、随机漏检审计及独立红队检验召回；METR 与 Redwood 的测试发现过监控缺陷，仍有一项修复进行中。监控不会直接改变触发告警的 RL 样本奖励，以减少模型为躲避惩罚而隐瞒行为的动机。外部部署受隐私与会话跟踪限制：部分 Responses API 请求可以自动暂停，同类请求若缺少支持的会话跟踪只能通知，Chat Completions 不在该系统覆盖范围内。

核心启示： Agent Activity → Broad Screening → Investigative Review → Independent Telemetry → Human / Automated Intervention。监控发现风险、权限限制操作、响应中断风险是三项独立能力，不能因为有日志或模型 Reviewer 就宣称已具备闭环防护。

今日思考

两篇文章分别回答 “谁能持续管理这个 Agent？” 和 “它运行时出了问题，谁能及时发现并阻止？”。

共享 Automation 解决的是治理权归属：流程、配置、执行身份和成本应该跟随仓库及团队，而不是个人；分层监控解决的是执行行为的可信度：除了读取 Agent 自己产生的解释，还要核查工具、网络与环境证据，并明确何时升级给人、何时自动暂停。

一个长期运行的软件工厂可以将两者组合成：Team-owned Specification → Authorized Agent Runtime → Independent Observation → Escalation / Stop → Reviewed Changes。但公告中的共享能力仍在推出，监控报告也承认误报和覆盖缺口；架构存在不等于可靠性已经被外部证明。