GitHub separă controlul pentru aplicația Copilot: ce înseamnă guvernanța clienților AI de dezvoltare

GitHub a publicat pe 27 iulie 2026 politici distincte pentru aplicația GitHub Copilot și a extins aplicarea setărilor administrate la aplicația Copilot și la cloud agent. Schimbarea este relevantă pentru organizațiile care folosesc sau evaluează agenți AI pentru dezvoltare: accesul la un client AI, extensiile permise, posibilitatea de a ocoli aprobări și spațiul în care agentul poate rula comenzi trebuie guvernate ca decizii de securitate, nu lăsate doar la alegerea individuală a dezvoltatorului.

Ce s-a schimbat concret

Până acum, accesul la aplicația Copilot depindea de politica pentru Copilot CLI. Noul control permite administratorilor de enterprise sau organizație să gestioneze separat aplicația Copilot. Documentația GitHub indică trei opțiuni: activare peste tot, dezactivare peste tot sau delegarea deciziei către organizațiile componente. Politica este activată implicit, deci organizațiile care nu doresc această suprafață trebuie să verifice și să schimbe explicit setarea relevantă.

În aceeași actualizare, GitHub spune că setările enterprise administrate pot guverna aplicația și cloud agent-ul, alături de Copilot CLI și VS Code. Printr-un fișier managed-settings.json, administratorii pot controla, între altele, pluginurile și marketplace-urile permise, precum și dacă utilizatorii pot ocoli solicitările de aprobare înainte ca agentul să ruleze comenzi, să acceseze fișiere sau să preia URL-uri. Setările impuse de enterprise au prioritate față de opțiunile locale ale dezvoltatorilor.

De ce este un subiect de securitate, nu doar de productivitate

• Un agent poate interacționa cu cod, fișiere, comenzi, URL-uri și instrumente externe; fiecare permisiune adaugă o posibilă cale de acces sau exfiltrare.
• Pluginurile și marketplace-urile nevalidate pot introduce dependențe, capabilități sau fluxuri de date care nu au trecut prin evaluarea internă.
• Aprobările umane sunt importante pentru acțiuni cu impact: modificări de infrastructură, acces la secrete, export de date, execuție de comenzi și schimbări de configurare.
• Controlul centralizat reduce diferențele dintre clienți, însă nu înlocuiește code review-ul, testele, separarea mediilor și gestionarea secretelor.

Un minim de guvernanță înainte de extindere

• Inventariază clienții AI, agenții, extensiile și conturile folosite de echipe, inclusiv variantele de test și cele personale autorizate.
• Definește ce date, secrete, repository-uri și medii nu pot fi accesate de un agent fără aprobare suplimentară.
• Permite doar pluginuri și marketplace-uri evaluate, cu un owner clar pentru revizuire și retragere.
• Păstrează aprobarea umană și review-ul standard pentru modificări de cod, infrastructură, dependențe sau configurații sensibile.
• Testează fluxurile într-un mediu izolat și verifică logurile, audit trail-ul, retenția și opțiunile de revocare înainte de folosirea pe sisteme de producție.

O politică bună nu înseamnă interzicerea completă a AI. Ea decide unde poate fi folosit în siguranță, ce controale sunt obligatorii și cine răspunde pentru excepții. Pentru organizațiile din România sau UE, această disciplină poate susține gestionarea riscului și controlul furnizorilor, însă aplicabilitatea exactă a NIS2, GDPR, DORA sau a regulilor sectoriale trebuie evaluată separat.