Copilot для агентов: org-токен вместо чужого OAuth

Редакция 28 октября 2026 г.

Автоматический агент обращается к GitHub Copilot по org-токену приложения, а не по личной сессии разработчика.

В открытом превью GitHub Copilot SDK принимает серверную аутентификацию для приложений GitHub на организациях: сервисы и агенты ходят в Copilot от имени org, без учётных данных залогиненного пользователя. Ключ принадлежит установленному приложению, а не чьей-то OAuth-сессии — проще держать CI и фоновые джобы без привязки квоты к личному аккаунту.

Нужно выдать приложению разрешение Copilot Requests только на чтение, установить его на организацию и передать в SDK короткоживущий installation access token. Запросы списывают на org-владельца установки; на неё же действуют политики моделей, бюджеты и лимиты расходов.

Контроль для владельцев org

Владельцы проверяют, какие приложения имеют доступ. В CSV-отчётах по использованию ИИ траты приложения помечают полем app_client_id. Доступ обрывают приостановкой или удалением приложения — без обхода личных токенов у разработчиков.

Источник: GitHub Copilot supports server-to-server authentication.