GitHub Universe 2026: cosa cambia per chi lavora con agenti e Copilot

Questo pezzo è per chi lavora su GitHub con Copilot o con un altro agente di coding. Dice cosa è cambiato dopo GitHub Universe 2026, senza leggere trenta voci di changelog. Gli annunci sono del 28 ottobre 2026. Tutto quello che segue viene dal blog ufficiale di GitHub, dal changelog e dalla documentazione su docs.github.com, letti il 30 ottobre. Non ho provato le nuove funzioni e non ho fatto misure: i numeri sono quelli dichiarati da GitHub.

In breve:

• Copilot Fusion è disponibile per tutti i piani Copilot: scegli un livello di impegno e Copilot sceglie e combina i modelli. Paghi ogni modello usato alla sua tariffa, con uno sconto del 30% per un periodo limitato.
• Gli agenti entrano nella CI: GitHub Agentic Workflows è in disponibilità generale anche su Free e Team. Le automazioni di Copilot hanno nuovi trigger e limiti di spesa, e Agent Merge sistema i blocchi delle pull request.
• Copilot code review può approvare una pull request, e quell'approvazione conta tra quelle richieste dal repository. È disattivata di default.
• Copilot entra in GitHub Enterprise senza costo per posto, ma solo per chi passa da un account team di GitHub o Microsoft. Per Free, Team e self-serve oggi non cambia niente.
• Da attivare subito, anche senza agenti: i lockfile dei workflow di Actions, ora in disponibilità generale.

Il contesto: i numeri di Octoverse

Lo stesso giorno GitHub ha pubblicato Octoverse 2026. Negli ultimi dodici mesi i push sono stati 17,9 miliardi, più del 2024 e del 2025 messi insieme. I commit sono saliti a 34,3 miliardi e le pull request unite a 1,3 miliardi.

Il dato che spiega il resto degli annunci riguarda gli agenti. A settembre 2026 oltre il 40% delle pull request partiva dalla prima bozza di un agente, contro il 17% di marzo. Tra gli utenti di Copilot che scelgono il modello da soli, il 61% ne ha usato più di uno.

Un numero va letto con calma. I repository creati quest'anno con un file di configurazione per agenti hanno in media otto volte i commit degli altri. È una correlazione: chi scrive un AGENTS.md di solito lavora già molto con gli agenti. Non dice che il file moltiplichi i commit.

Sotto c'è l'infrastruttura. Nel post di apertura di Universe GitHub dichiara di aver aggiunto quest'anno 4 milioni di core, 160 PB di storage e 50 Tb/s di rete. La migrazione a un deployment multi-regione su Azure dovrebbe chiudersi all'inizio del 2027.

1. Copilot Fusion: scegli l'impegno, non il modello

Fusion non è un modello. È un sistema che, a ogni prompt, decide quali modelli usare e come farli lavorare insieme. Tu scegli solo il livello: Standard per il lavoro di tutti i giorni, High per compiti difficili, Max per quelli più impegnativi.

Dietro ci sono tre schemi. Single: un modello risolve il compito. Cascade: un modello economico scrive una bozza, un controllo di qualità decide se accettarla o passare a un modello più forte. Critique: un modello scrive, un altro rivede, il primo corregge.

È disponibile in VS Code, nell'app GitHub Copilot, in Copilot CLI e negli IDE JetBrains. Si seleziona dal menu dei modelli. Chi aveva attivato auto, HydraFusion o HydraFusion Max nella research preview viene spostato al livello corrispondente.

Il costo è la parte da guardare. Ogni modello usato da Fusion si paga alla sua tariffa standard, quindi Critique e Cascade possono usare più di un modello sullo stesso prompt. Per un periodo limitato i piani a pagamento hanno il 30% di sconto sui costi dei modelli usati da Fusion.

Gli amministratori decidono da quali modelli Fusion può scegliere, possono escluderne uno solo per Fusion e possono renderlo il default. Fusion usa soltanto i modelli abilitati nelle policy di enterprise e organizzazione.

GitHub dichiara che Fusion Max ha preso 60 punti nell'Artificial Analysis Coding Agent Index, a due punti da Claude Code con Opus 5.5 Max. Secondo GitHub costa circa metà per compito e impiega il 40% di tempo in meno. È un numero del vendor su un indice esterno: utile come indizio, non come prova sul tuo codice.

C'è anche il routing verso modelli locali, in anteprima sperimentale. Il download gestito esiste solo su Windows; su macOS e Linux Copilot CLI accetta modelli configurati a mano su un server compatibile con OpenAI. La decisione di routing resta nel cloud, quindi la sessione non diventa offline.

2. Agenti dentro la CI: Agentic Workflows, automazioni, Agent Merge

Agentic Workflows. È un progetto open source di GitHub Next, ora in disponibilità generale su Free, Team ed Enterprise. Descrivi il compito in un file Markdown, per esempio lo smistamento delle issue o l'analisi dei fallimenti della CI. Lo strumento lo compila in YAML standard di Actions. Usa i runner e le policy che hai già.

L'agente può essere Copilot o un altro agente di coding. Il motore predefinito è Copilot CLI e richiede una licenza Copilot. Le protezioni dichiarate sono parecchie. L'agente parte con permessi in sola lettura e gira in un container isolato dietro un firewall. Gli output passano dal processo safe outputs, e un job cerca minacce nelle modifiche proposte prima di applicarle.

I comandi dalla guida rapida ufficiale:

gh extension install github/gh-aw
gh aw add-wizard githubnext/agentics/repo-status
gh aw compile
gh aw run repo-status

Con la disponibilità generale gh aw forecast non è più sperimentale e stima la spesa mensile in crediti AI, compresi quelli del job di threat detection. Lancialo prima di attivare un flusso su eventi frequenti.

Automazioni di Copilot. Sono flussi nel cloud fatti di prompt, trigger e strumenti. Le novità: avvio da sistemi esterni via REST API e 24 eventi in più tra issue, pull request, discussioni e alert di sicurezza. Arrivano anche 20 nuovi strumenti GitHub e quelli dei server MCP. Si possono concatenare.

Due impostazioni contano più delle altre. I limiti di crediti AI per esecuzione, giorno, settimana o mese sono facoltativi: senza limiti l'automazione gira come prima. L'opzione "Can be triggered by" parte da Only users; se la porti a Users and Copilot, un'automazione può farne partire un'altra. Lì vanno evitati i cicli.

Agent Merge. Dal riquadro di merge di una pull request scegli "Watch and fix": Copilot corregge i workflow di Actions che falliscono, i conflitti di merge o entrambi, lavorando in un ambiente cloud. Si combina con l'auto-merge. Serve un piano Copilot a pagamento.

Lockfile dei workflow. Non è una funzione per agenti, ma con più codice e più automazioni conta di più. Il file .github/workflows/actions.lock fissa ogni action, anche le dipendenze transitive, al commit registrato, anche se il tag si sposta. Dependabot aggiorna il lockfile nella stessa pull request, e gli admin possono imporlo con la policy Require lockfile.

I comandi dal README di gh-actions-lock:

gh extension install github/gh-actions-lock
gh actions-lock            # crea o corregge .github/workflows/actions.lock
gh actions-lock --verify   # in CI: controlla il lockfile senza modificarlo

GitHub lo scrive chiaro: il lockfile protegge da cambi inattesi, non dice se una dipendenza è sicura. È lo stesso ragionamento delle dipendenze inventate dagli agenti: prima si controlla cosa entra, poi lo si blocca.

3. Review e approvazioni: Copilot conta come revisore

Copilot code review aggiunge un terzo livello di impegno, Max, in anteprima pubblica accanto a Lite e Balanced. Fa girare più agenti di revisione su modelli di fornitori diversi, poi un agente di aggregazione unisce i risultati. È più lento e consuma più crediti.

Il cambiamento che tocca davvero il flusso è un altro: le approvazioni di Copilot sono in disponibilità generale. Se le attivi, l'approvazione di Copilot conta tra quelle richieste dal repository e decade se arrivano nuovi commit, come quella di una persona.

Sono disattivate di default. Gli admin le accendono a livello di enterprise, organizzazione o repository, e chi amministra il repository sceglie su quali percorsi Copilot può approvare. Disponibili su Copilot Pro, Pro+, Max, Business ed Enterprise.

Nel confronto tra Claude Code, Cursor e Copilot il controllo di Copilot stava nel flusso di GitHub: branch, pull request, approvazioni umane. Ora una di quelle approvazioni può essere di Copilot. Se una regola di protezione richiede una sola approvazione, quella può arrivare senza che una persona abbia letto il diff. Cosa controllare in quel diff prima del merge è nella checklist per rivedere il codice scritto da un agente.

Fatturazione: Copilot dentro GitHub Enterprise

La nuova formula si chiama Copilot access. Chi ha una licenza GitHub Enterprise Cloud non paga il posto Copilot; chi non ce l'ha usa Copilot Standalone a 10 dollari al mese. L'uso si paga dalla prima richiesta, senza crediti inclusi.

Oggi è disponibile solo per chi lavora con un account team di GitHub o Microsoft. Non è disponibile per le organizzazioni Free o Team né per le prove self-service di Enterprise Cloud; per chi gestisce da solo l'abbonamento arriverà a fasi. Il passaggio è volontario e Business ed Enterprise restano in vendita.

A budget esaurito il posto resta: completamento del codice e next edit suggestions continuano a funzionare, mentre chat, code review e lavoro nel cloud si fermano. La documentazione chiede anche di aggiungere *.enterprise.githubcopilot.com ai firewall che permettono solo *.business.githubcopilot.com.

Cambia anche il calcolo di Actions. Con la nuova esperienza cloud di Copilot, l'entitlement incluso diventa un fondo in dollari invece di minuti fissi. Copre i runner standard, le sandbox cloud degli agenti e, su Team ed Enterprise Cloud, i runner più grandi. Build e agenti pescano dallo stesso fondo.

Sicurezza: tre anteprime da conoscere

• Push protection oltre i pattern noti: un classificatore blocca i segreti senza formato riconoscibile guardando come vengono usati nel codice. Anteprima pubblica, serve GitHub Secret Protection o Advanced Security, consuma crediti AI. Gli agenti devono avere un'autorizzazione per aggirare un blocco.
• Reachability per Dependabot: per JavaScript e TypeScript cerca un percorso dal tuo codice alla funzione vulnerabile e segna l'alert come raggiungibile o no. Anteprima, solo Enterprise Cloud, gratuita durante l'anteprima.
• AI Scan per repository: uno scanner agentico analizza l'intero repository, anche nei linguaggi che CodeQL non copre. Anteprima pubblica, consuma crediti Code Security; sui repository personali solo per quelli pubblici.

Nessuna delle tre sostituisce le basi: i segreti fuori dal repository restano il primo controllo.

Cosa puoi ignorare per ora

• Il passaggio da GitHub Copilot SDK a Microsoft Copilot SDK: GitHub scrive che non servono modifiche immediate.
• I punteggi dei benchmark citati negli annunci: sono del vendor, e conta come si comporta l'agente sui tuoi casi.
• Il routing verso modelli locali, se non sei su Windows o non ti va di gestire un server di inferenza: è sperimentale.
• Copilot Projects, la generazione di immagini e il computer use nell'app Copilot: sono in anteprima pubblica.

Cosa conviene fare adesso

• Attiva i lockfile di Actions sui repository con deploy o segreti: gh actions-lock, poi --verify in CI.
• Se usi Copilot, prova Fusion Standard su una settimana di lavoro normale e confronta la spesa nel dashboard dell'uso AI prima di passare a Max.
• Prima di accendere le approvazioni di Copilot, decidi dove restano obbligatorie quelle umane: autenticazione, pagamenti, infrastruttura.
• Metti un limite di crediti su ogni automazione e su ogni agentic workflow, e lancia gh aw forecast prima di attivarli su eventi frequenti.
• Se gestisci Copilot Business in un'azienda su Enterprise Cloud, rifai i conti con la tabella sopra e la stima di uso reale: senza crediti inclusi, il risultato dipende da quanto si usa.
• Scrivi o aggiorna le istruzioni per gli agenti nel repository: la guida è AGENTS.md, CLAUDE.md e regole di Cursor.

Prima di affidare un flusso a un agente, chiediti se serve davvero: a volte un cron e uno script bastano. Per misurarlo su casi tuoi c'è un set minimo di eval per agenti, e prima di andare in produzione la checklist per un sito vibe coded. Il resto del percorso è nell'hub AI Engineering.