GitHub Agentic Workflows в общем доступе: разработка ИИ-агентов начинается с текста, а не с YAML

Разбор упавшей сборки у нас долго жил в двух местах: в голове дежурного и в YAML, который открывали, только когда уже горело. 28 октября 2026 GitHub вывел Agentic Workflows в общий доступ на github.com. Задачу пишут обычным Markdown, а рантайм собирает из него обычный workflow в Actions. Для планов Free, Team и Enterprise пропадает отдельный шаг: разбор новых issue, падение CI и черновик тестов больше не нужно заранее расписывать в YAML. Для разработки ИИ-агентов важнее соседний вывод. Текст задачи ещё не даёт права эту задачу выполнить.

Движок, чтение и белый список выходов

Движок по умолчанию - GitHub Copilot CLI. Без лицензии Copilot он не стартует. На его место можно поставить своего coding-агента, но сценарий всё равно остаётся GitHub Actions и наследует runner groups и политики репозитория.

Права с самого начала только на чтение. Исполнение идёт в песочнице за Agent Workflow Firewall. Наружу попадает лишь то, что разрешено через safe outputs: явный белый список выходов, а не "сделай как лучше". Перед применением изменений работает проверка на угрозы.

В общий доступ вошли и рабочие мелочи, без которых пилот разваливается на второй день. Self-hosted ARC с Docker-in-Docker, изоляция в micro-VM, выбор провайдера модели на конкретный workflow, роутер моделей и шаблоны через gh aw add-wizard. Команда gh aw forecast больше не экспериментальная: она показывает кредиты проверки на угрозы и месячный диапазон.

Это форма для сценария, а не разрешение отдать репозиторий агенту.

Сначала тестовый issue, потом право писать

Ставим CLI-расширение по quickstart GitHub и добавляем готовый сценарий из репозитория agentics: разбор входящих или разбор CI. Запускаем на тестовом issue, не на боевой очереди.

Первый итог почти всегда скромный. Агент может прочитать лог и набросать комментарий. Закрыть issue или открыть запрос на слияние он не сможет, пока нужный safe output явно не включён.

Мы на этом уже обжигались внутри команды. В первый заход отдали абзац: посмотри лог, найди причину, поправь и открой запрос. Агент причину нашёл и следом полез в соседний файл, которого в задаче не было. Откатили. Во второй версии текст сузили до лога и черновика комментария, а право менять файлы выключили. Дежурный получил причину, репозиторий остался нетронутым, пока человек сам не подтвердил правку.

До включения записи есть смысл вызвать gh aw forecast. Не ради красивой экономии, а чтобы увидеть кредиты проверки на угрозы и месячный диапазон, пока сценарий ещё не стал привычкой. Чужие часы в неделю и доля коммитов в расчёт не идут: в заметке это цитата Accenture, не замер GitHub.

Markdown не обходит политики

Лицензия Copilot - жёсткий порог для движка по умолчанию. Фраза в задаче "возьми другую модель" сама по себе его не снимает. Своего агента подключают отдельно, а не припиской внизу файла.

Чужой репозиторий и self-hosted ARC живут по своим правилам. Runner group, секреты и право на запись проверяются как у обычного Actions. "Просто Markdown" эту проверку не отменяет.

Роутер моделей тоже не всесилен. Провайдера можно выбрать на workflow, но запрет в политике организации сильнее текста. Нет модели в списке - сценарий не должен тихо уехать к соседней.

Именно здесь начинают искать лучшие ИИ-агенты: кто быстрее закрывает тикет и сам открывает исправление. На репозитории с чужим кодом такой победитель опасен. Полезнее агент, который останавливается, пока выход не разрешён. Список лучших ИИ-агентов этот выбор не закроет.

Куда ставить свой движок, если Copilot в контур нельзя

В продакшен мы Copilot не ставим. Где код и данные заказчика нельзя уносить наружу, разработка ИИ-агентов идёт на российских моделях: YandexGPT, GigaChat Pro и, где уместно, локальный контур. Из релиза забираем не вендора, а устройство.

Яндекс ИИ-агент как раз удобно мерить этой меркой, а не витриной студии. В чате он охотно берёт цель целиком: разбери проверки и поправь код. На репозитории заказчика этого мало. Нужны те же три решения, что зафиксированы в рантайме GitHub. Чтение по умолчанию. Короткий список разрешённых выходов. Отдельный выбор, какому провайдеру вообще можно показывать этот код.

Если Яндекс ИИ-агент публикует черновик в нашем контуре, а в git пишет человек, процесс не разъезжается между чатом и платформой. Провайдера не прячем в один роутер "на все репозитории". Разбор лога, черновик теста и правка конфига - разные сценарии, и набор моделей у них может отличаться. Так проще объяснить, почему один смотрит наружу, а второй остаётся в российском контуре.

Обучение ИИ-агентов читается без сопроводительного письма

Новый дежурный не должен узнавать границы из устного пересказа. Он открывает Markdown и видит: агент читает лог, готовит комментарий и не вливает правку сам. Обучение ИИ-агентов здесь начинается не с подбора "самой сильной" модели, а с текста, который человек может оспорить до запуска.

Прогоняем сценарий вместе с дежурным на тестовом issue. Не может назвать включённый safe output - в работу это не берём. Агент предлагает закрыть тикет, а такого права в файле нет - ограждение сработало. Чинить тут нечего, кроме соблазна включить запись только потому, что ответ звучал уверенно.

Agentic Workflows стоит поднять на копии репозитория: шаблон, тестовый issue, чтение по умолчанию, forecast и только потом один явный выход на запись. В свою разработку забирать связку "задача текстом, свой агент, белый список действий".

Если Яндекс ИИ-агент или сценарий на GigaChat Pro уже разбирает у вас сборки, сверьте его с этой связкой до первого автоматического запроса на слияние. Где у вас проходит черта между черновиком и изменением репозитория?