Agent 生态周报｜10.5–10.11：边界能被组织锁死，并发账单还没算清

10 月 5 日到 11 日这一周，Agent 生态的两条主线是：执行边界从开发者手里的开关，变成组织能锁死的策略；多 agent 并发跑起来之后，上限和账单的口径先暴露出问题。

10 月 7 日，GitHub Copilot 的本地沙箱正式可用，覆盖 Copilot CLI、Copilot 应用和使用 Agent Host 的 VS Code。组织可以用企业托管设置要求必须开启沙箱，并强制开发者无法削弱的策略；沙箱策略作用于工具执行，与 Copilot 使用哪个模型无关，费用包含在 Copilot 里。1

10 月 5 日，Google 的 CodeMender v0.12.0 把修复范围写进规则：cm fix 会阻止 agent 修改漏洞修复范围之外的 CI/CD 流水线、静态分析配置、构建定义和仓库配置文件。同一个版本让扫描默认纳入 .github/、.config/ 这类隐藏目录，单文件发现上限从 500 KB 提到 2 MiB，并把会话 token 用量改成统计整个会话的所有轮次。2

10 月 7 日，Claude 平台给联网工具加上出口规则：托管 agent 的 web_fetch 只抓本会话中已经出现过的 URL，只出现在 agent 自己输出或工具输出里的地址会返回 url_not_in_prior_context。在 limited 网络模式下，allowed_hosts 也管到 web_search 和 web_fetch，白名单和网页工具域名对不上时，创建会话直接返回 400。3

10 月 9 日，Claude Managed Agents 的动态工作流进入 beta：agent 自己写一个分阶段跑很多 agent、并合并它们结果的程序，服务器在后台把它执行成一次 workflow run。启动权只在 agent 手里，权限策略管的是 run 里 agent 调用的工具，不管启动这个动作。34

上限写在文档里：一次 run 同时最多 64 个线程，整个生命周期最多启动 1000 个 agent，默认生命周期 24 小时。预算是另一条线：撞到会话预算时所有还开着的 run 暂停，而每个线程会把它已经开始的那次模型请求跑完，所以一次 run 可能超出预算，最多每个还在工作的线程多一次请求；事后没有端点能单独列出一次 run 的费用。5

10 月 8 日，Copilot 代码评审新增两条组织级控制。组织所有者可以把有许可成员的评审记到组织成本中心，而不是消耗成员自己的配额，代价是需要为组织开启 AI Credits 的付费用量，还可以另设预算。也可以只允许本组织或企业许可的人触发评审，在组织层打开后，仓库管理员无法关闭。默认仍然是记在成员自己的配额上，配额用尽这次评审就失败。6

10 月 6 日，GitHub 把 Copilot 用量指标里 agent 活动被少算的原因讲清楚了：几个 IDE 把 agent 会话切到 Copilot SDK 之后不再标明自己来自哪个 IDE，大部分活动没进报表，一部分被算成 Copilot CLI 的活动。受影响版本的活动无法回补，计费不受影响。VS Code 1.139.0 及以后已经修复，其余 IDE 预计到 11 月完成。7

下一轮产品选型先问三件事。策略能不能被组织强制锁死，开发者还能不能自己放开；并发跑起来之后，上限写在哪一页、撞顶还能超多少；用量指标的数字靠客户端上报还是服务端记录，口径改过之后还能不能补回来。

面试里可以这样说：多 agent 进生产环境，拼的是权限能不能锁死、并发溢出算不算得清、指标口径自不自洽。