The post has been translated automatically. Original language: Russian
On September 14, 2026, the GitHub Agentic Workflows team published a weekly report summarizing seventeen releases at once, from version 0.88.5 to 0.89.12. Two are named as the main ones in the report: 0.89.0, where logging of tool calls was redesigned, and 0.89.12, entirely dedicated to reducing the affected area in case of a credential leak. The project allows you to describe the automation of the repository in text in Markdown and run it as a regular GitHub Actions script, where decisions are made by an agent based on the language model.
Logs of tool calls have become usable for analysis
Prior to version 0.89.0, an entry about calling the tool via the MCP in the run log provided little information: it was difficult to understand which server was responding and at what time. Now each such record contains a timestamp, the server name, and the tool name. For an agent who pulls dozens of external sources in one run, this is the difference between "something went wrong" and an accurate indication of a specific call.
The --ignore-workflow-runs flag also appeared there: it excludes the specified runs from collecting logs, while not distorting the result counters. An update to the log cache was fixed separately — previously, the cached data could remain outdated after the next collection, now the cache is updated with fresh results. In version 0.89.13, support for wildcard templates was added to the cache to combine several suitable log files at once.
Credentials and supply chain
The 0.89.12 release is designated as a security release. The main change: the slash command router now performs checkout with the persist-credentials parameter set to false, meaning the token does not remain in the git configuration inside the working copy. The auto-update script and checkout received the same treatment in the agent's command router. The Actions used in parallel in the GitHub project are fixed by SHA commits instead of movable tags - a standard measure against retroactively replacing the content of an action.
The logic is simple: the agent executes the text that came from outside — from a task, comment, or someone else's pull request. The fewer secrets are available at the moment when the model decides what to do, the cheaper it is to make a mistake.
Models, gateway, and repaired checks
In 0.89.0, we added recognition of the gpt-6-astra model in the resolution of aliases and in price catalogs — both for integration with GitHub Copilot and for OpenAI. The built-in MCP gateway has been updated to version 0.4.20 with fixed visibility of secure output receivers. The threat analysis for scenarios on user engines was fixed: previously, instead of parsing, it reported a configuration error. We also adjusted the accounting of spent credits for unsuccessful runs.
What does this mean in practice?
It is better to perceive the update not as a set of minor edits, but as a mark—up of the maturity of the approach: the agent in CI ceases to be a demonstration and acquires what is impossible to operate without - traceability and separation of rights.
What is worth looking at if you already have agent scenarios running?:
- Check your own checkout steps in workflow. persist-credentials saves the token in a working copy by default, and any subsequent step — including the one generated by the model — sees this token.
- Consolidate third-party actions on the SHA commit. An tag like v4 indicates a moving target, and anyone with rights to someone else's repository can rewrite it.
- Reconsider the analysis of logs if you are parsing them with scripts: the format of tool call records has changed, new fields have been added.
- By default, scripts have read—only rights, writing goes through pre-configured secure pins - this restriction should be maintained, even when it gets in the way.
And it's worth considering the pace: seventeen releases per week is a rapidly changing tool, so it's better to explicitly fix the CLI version in your infrastructure.
The draft text was prepared with the participation of AI, the facts were checked against the original source — the weekly report and release notes of the GitHub Agentic Workflows project.
Команда GitHub Agentic Workflows опубликовала 14 сентября 2026 года еженедельный отчёт, в котором подвела итог сразу семнадцати выпусков — от версии 0.88.5 до 0.89.12. Главными в отчёте названы два: 0.89.0, где переработали журналирование вызовов инструментов, и 0.89.12, целиком посвящённый сокращению зоны поражения при утечке учётных данных. Проект позволяет описывать автоматизацию репозитория текстом в Markdown и запускать её как обычный сценарий GitHub Actions, где решения принимает агент на базе языковой модели.
Логи вызовов инструментов стали пригодны для разбора
До версии 0.89.0 запись о вызове инструмента через MCP в журнале прогона мало что давала: по ней было трудно понять, какой именно сервер отвечал и в какой момент. Теперь каждая такая запись содержит отметку времени, имя сервера и имя инструмента. Для агента, который за один прогон дёргает десяток внешних источников, это разница между «что-то пошло не так» и точным указанием на конкретный вызов.
Там же появился флаг --ignore-workflow-runs: он исключает указанные прогоны из сбора логов, при этом не искажая счётчики результатов. Отдельно починили обновление кеша логов — раньше закешированные данные могли остаться устаревшими после очередного сбора, теперь кеш обновляется свежими результатами. В версии 0.89.13 к тому же кешу добавили поддержку шаблонов с подстановочным символом, чтобы объединять несколько подходящих файлов логов сразу.
Учётные данные и цепочка поставок
Выпуск 0.89.12 обозначен как security-релиз. Основное изменение: маршрутизатор слеш-команд теперь выполняет checkout с параметром persist-credentials в значении false, то есть токен не остаётся лежать в конфигурации git внутри рабочей копии. Такую же обработку получили сценарий автообновления и checkout в агентском маршрутизаторе команд. Параллельно используемые в проекте GitHub Actions закреплены по SHA-коммита вместо подвижных тегов — стандартная мера против подмены содержимого действия задним числом.
Логика простая: агент исполняет текст, пришедший извне — из задачи, комментария или чужого pull request. Чем меньше секретов доступно в момент, когда модель решает, что выполнить, тем дешевле обходится её ошибка.
Модели, шлюз и починенные проверки
В 0.89.0 добавили распознавание модели gpt-6-astra в разрешении псевдонимов и в каталогах цен — и для интеграции с GitHub Copilot, и для OpenAI. Встроенный MCP-шлюз обновили до версии 0.4.20 с исправлением видимости приёмников безопасного вывода. Починили анализ угроз для сценариев на пользовательских движках: раньше вместо разбора он сообщал об ошибке конфигурации. Также поправили учёт израсходованных кредитов для неудачных прогонов.
Что это значит на практике
Обновление лучше воспринимать не как набор мелких правок, а как разметку зрелости подхода: агент в CI перестаёт быть демонстрацией и обрастает тем, без чего эксплуатация невозможна, — трассируемостью и разделением прав.
На что стоит посмотреть, если агентные сценарии у вас уже крутятся:
- Проверьте собственные шаги checkout в workflow. persist-credentials по умолчанию сохраняет токен в рабочей копии, и любой последующий шаг — включая тот, который сформировала модель, — этот токен видит.
- Закрепите сторонние действия по SHA-коммита. Тег вроде v4 указывает на движущуюся цель, и переписать её может кто угодно с правами на чужой репозиторий.
- Пересмотрите разбор логов, если вы парсите их скриптами: формат записей о вызовах инструментов изменился, добавились новые поля.
- Права по умолчанию у сценариев только на чтение, запись идёт через преднастроенные безопасные выводы — это ограничение стоит сохранять, даже когда оно мешает.
И стоит учитывать темп: семнадцать выпусков за неделю — это быстро меняющийся инструмент, поэтому версию CLI в своей инфраструктуре лучше закреплять явно.
Черновик текста подготовлен с участием ИИ, факты сверены с первоисточником — еженедельный отчёт и заметки к выпускам проекта GitHub Agentic Workflows.
Share
