每天 8 点，5 分钟看懂微软技术圈。今天是 2026 年 10 月 4 日，星期日。
今日速览
- 26H2 的已知问题清单出全了：USB 音频设备失灵、企业域登录失败、Azure 虚拟桌面黑屏，再加一条 Dolby Digital 解码导致应用闪退。
- Blazor 拿到一套智能体 UI 组件，聊天流、工具调用、审批卡片都变成了可绑定的 Razor 组件，需要 .NET 11 RC1。
- Azure 网络网关事故的官方时间线公布：19 个区域、约 5 小时 45 分钟，坏的是企业连进云的那几道门。
- Copilot 代码评审开放 API，评审力度可以按请求给，默认档位从 9 月 28 日起切到 Balanced。
- 微软年度数字防御报告发布：钓鱼回潮到 23%，ClickFix 式的复制粘贴攻击在三个月内触达 110 万台设备。
一、26H2 的三条已知问题，微软把话说全了
Windows 11 26H2 在 9 月 30 日正式推送之后，微软在发布健康页面上把已知问题逐条登记了出来。
第一条是 USB 音频设备失灵。 符合 USB Audio Class 1.0 规范的设备可能出现无法启动或者干脆没有声音的情况，音量拉到 100% 也没用。耳机和麦克风会一起失效，设备管理器显示「设备无法启动」，停用设备或者卸载驱动都解不开。更别扭的是，用户打开声音设置想排查，设置页本身可能卡死或直接崩掉。源头是 9 月的更新，官方登记的影响面比之前宽：Windows 11 的 23H2、24H2、25H2、26H2 都在列，还延伸到 Windows 10 和多个 Windows Server 版本。
第二条只落在企业环境，性质更麻烦。 部分受 Credential Guard 保护的计算机账户会丢掉与域之间的安全通道，结果是输入正确的域凭据也登不进去。原因写得也直白：26H2 会启用 Machine Identity Isolation，更新本身不去强制这个功能，但它让 Windows 开始采纳那些此前已经配置、却一直没生效的隔离策略。官方补了两条边界：这个功能只支持域功能级别在 Windows Server 2025 及以上的域控，够不上这个级别的环境应当把它关掉。已经中招的机器，用当初启用它的同一套手段关回去（Intune 策略、组策略或注册表），重启之后再修复与域的安全通道。临时规避可以走 Known Issue Rollback。
第三条是 Azure 虚拟桌面主机的黑屏。 装完 26H2 及后续更新后，部分主机会出现黑屏或者桌面加载异常，与既有用户配置文件的关联更大，用 FSLogix 的虚拟桌面主机更容易撞上。临时办法是从任务管理器手动拉起 explorer.exe，企业侧同样可以部署 Known Issue Rollback 策略。普通消费者基本碰不到。
第四条是这两天新确认的。 依赖 Windows 内置 AC-3（Dolby Digital）解码的应用和游戏，可能在调大音量、改音频设置或者用到某些音频功能时无预警关闭。微软的说法是触发条件跟应用具体在做什么有关：有的根本起不来，有的平时正常，一放音乐就退出；受影响的不限于游戏，媒体播放器和某些生产力应用也在内。这条同样是 KB5124010（9 月 22 日）及之后更新带的，24H2、25H2、26H2 都会中。
几条老问题为什么现在一起冒出来，官方给的解释是代码复用。 26H2、25H2、24H2 共用同一个服务分支和同一份源代码，补丁也是同一批，所以 26H2 上的缺陷在另外两个版本上同样存在，只是过去未必被触发。基于这一点，微软不建议用户因为这几条已知问题跳过 26H2，理由是升到 26H2 本质上是透过 eKB 换一次版本号和构建号，不会额外引入一批兼容性问题。
修复节奏目前只给了「后续更新」。 音频相关的那条，官方口径是在做，有进展会更新，没有日期；域登录和 AVD 这两条还在查根因，靠 KIR 顶着。企业这边可以顺手记一个日期：24H2 的家庭版和专业版在 10 月 13 日停止支持，同一天是 26H2 的第一个月度更新。
二、Blazor 有了一套智能体 UI 组件
在 Blazor 里做智能体界面，过去得自己拼水管。 流式返回要接 SSE 或 WebSocket，工具调用要自己画卡片，敏感操作要自己插一道确认，模型吐出来的内容还得手动映射成界面状态。9 月 28 日，.NET 团队在官方博客放出一组实验性的 Blazor AI 组件，把这几件事收进了框架层。
入口分两层。 上层是 ChatPage，提供消息列表、输入框、流式状态和重试行为的完整对话体验，装上就能跑。它接收一个 UIAgent，后者包装 Microsoft.Extensions.AI 的 IChatClient，消费流式的 ChatResponseUpdate，把里面的内容映射成可观察的 ContentBlock 实例。ContentBlock 是某个交互片段在界面侧的表示，带身份、角色、生命周期状态和变更通知，数据边到边渲染。下层是四个原语，用来自己拼版式：AgentBoundary 建交互上下文，MessageList 渲染当前轮次，MessageInput 提交文本，BlockRenderer 按片段类型挑 Razor 内容。包里已经带了对话内容、工具调用、审批和前端动作几类片段，应用也可以注册处理器，把别的模型内容映射成自定义片段。
审批这一块值得单独展开。 当智能体要执行敏感动作，比如改数据库记录或者调外部接口，组件会自动渲染一张内联的批准卡，明确拦住执行，直到用户点确认。把工具请求做成带操作名、目标资源、参数、审批状态和最终结果的类型化片段，比塞进一段自由文本的对话记录更容易交给流程负责人看。
配套的生态名一起列出来：Microsoft.Extensions.AI、AG-UI .NET SDK、Microsoft Agent Framework、ASP.NET Core、Microsoft Foundry 和 Aspire。官方给了一个叫 AgenticUI 的完整样例，把这几块串成一个可跑的 Blazor Web App 加一个 ASP.NET Core 智能体服务。远程智能体场景走 AG-UI 的 AGUIChatClient，它实现 IChatClient，把 AG-UI 事件翻译成 Microsoft.Extensions.AI 的响应更新；组件本身受 AG-UI 的交互模型启发，但并没有跟这个协议绑死。
当前版本的边界也要说清楚。 包是实验性的预发布版本，需要 .NET 11 RC1 SDK；自带的 MessageInput 只做文本，要传图片、文件或音频得自己做一个输入组件，调 AgentContext.SendMessageAsync。官方口径是拿来搭原型，正式项目里建议把它的 API 关在应用自己的组件后面。
三、Azure 网络网关事故的完整时间线
时间线由 Azure 状态页给出。 事故从 9 月 30 日 20:30 UTC 开始，到 10 月 1 日 02:15 UTC 完成缓解，前后约 5 小时 45 分钟。受影响的是一整组网络网关类服务：ExpressRoute Gateway、VPN Gateway、Azure Firewall、Application Gateway（含 WAF）以及 Azure VMware Solution。
区域数量是 19 个。 欧洲占得最多，North Europe、West Europe、France Central、UK South、UK West、Switzerland North、Germany North 都在名单里；此外还有 West US、Mexico Central、Southeast Asia、East Asia、Australia East、South India、Japan West、Korea Central、South Africa North、UAE North 等。不同服务实际受影响的区域并不完全一致。中国的 Azure 由世纪互联运营，不在这类全球区域清单里。
根因的官方说法是两件事撞车。 先是对「区域网关管理服务」做了一次变更，随后一项本来不相关的操作系统维护开始逐区域推进，两者叠加触发了超出预期的负载；网关管理这一层本该自动扩容承接，但依赖服务上的额外负载让区域组件没能按设计扩起来。微软的处理是暂停那轮 OS 维护、回滚引发问题的网关管理变更，服务随后逐步恢复。它同时提到，部分 VPN Gateway 不是彻底中断，而是冗余能力下降；一些网络管理组件也没能自动恢复，需要人工把健康实例调过去。完整的事后审查报告到发稿时还没出。
这件事值得单独记一笔，是因为它暴露了集中度的位置。 被点名的五项有一个共同点：它们是企业机房与 Azure 之间的管道和闸门，不是面向网页的应用。分布在不同可用区的应用可能依然健康，但只要入口那一段网关坏了，用户、管理员和本地依赖会同时失去到达路径。几个可以立刻落地的动作：先确认遥测面自己还在不在报数据，仪表盘空白和一切正常在视觉上没有区别；需要绕过门户时，用 Azure Resource Graph 这类全局查询层直接拿资源状态；健康探针在路径被切分时是失败关闭还是失败放行，这个选择最好提前显式做出来，而不是等事故发生时才第一次思考。
四、Copilot 代码评审开了 API，力度按请求给
GitHub 在 10 月 2 日的变更记录里放了两件事。 一是 Copilot 代码评审可以通过 REST 和 GraphQL API 发起，评审力度（effort level）作为可选参数跟着请求走。二是默认档位变了：Balanced 从 9 月 28 日起成为新老仓库和组织的默认值，此前在设置里显式选过 Lite 的保持原样。
API 这一半的意义在于入口位置。 评审请求不必从 GitHub 界面发起，可以塞进团队已有的脚本、工作流和内部工具里，让它在代码流转的既定环节自动触发。GitHub 没有在变更记录里列出具体的端点和权限范围，只指向「配置 Copilot 代码评审」的文档。
力度档位这一半更贴近实际使用。 它按请求给，也就是说同一个仓库里，小的改动和风险高的改动可以拿不同分量的注意力，不必为了几个高危 PR 把整个仓库的默认档位调高。可配置的位置有四级，从上到下依次是企业侧的 AI controls → Agents → Copilot code review、组织的 Copilot → Code review、仓库的同名路径，以及个人设置里的 profile picture → Copilot settings → Copilot → Code review，每一级都能覆盖上一级。GitHub 没有说明 Balanced 和 Lite 在内部具体改了什么，档位是否值当，得拿同一个 PR 在两个档位上各跑一次，比较各自抓到了什么、各花了多久。
五、数字防御报告：ClickFix 成了主线
微软在 10 月 1 日发布 2026 年度数字防御报告。 这份报告的价值主要在数字和趋势判断，几条主线如下。
用户执行重新成为最吃重的入口。 报告把 ClickFix 式的复制粘贴攻击单独拎了出来：攻击者用伪造的验证页面诱导用户自己把命令粘进运行框或终端。Defender 在 2 月到 5 月初之间观测到这类命令在超过 110 万台设备上被执行，数量约为此前的八倍。在观察到的初始访问里，用户执行占到 30%。钓鱼也在回潮，2026 年占观察到的入侵的 23%，2025 年这个数字是 7%；利用暴露在公网的脆弱应用以 24% 略微居首。报告的数字页另列了超过 1.45 亿次二维码钓鱼和超过 4600 万次商业邮件冒充。
身份是串起这些手法的线。 涉及有效账户的入侵里，52.2% 最终导致了进一步的凭据窃取；针对关键基础设施的攻击技术中，78% 依赖云身份滥用。勒索方面，企业侧的勒索载荷引爆同比增长 15.8%。
漏洞供给这一侧的判断偏向悲观。 2026 年上半年公开披露的 CVE 接近 4 万枚，全年预计达到创纪录的 7.2 万枚；报告的表述是未来会经历一段「已公开但未修补的漏洞数量激增」的时期。它同时给了一个反向观察：在被分析的五枚利用最多的 CVE 中，58% 的活动关联到 2020 年首次披露的 CVE-2020-1472。最新的一批被武器化得最快，而真实世界里的大量损失仍然来自那些从没修过的老问题。报告还提到，前沿模型在受控环境里展示过把 32 个阶段串起来的复杂多阶段攻击。
防御侧的建议回到了基本盘。 抗钓鱼的多因素认证与通行密钥、身份卫生、分层管理、强化的特权访问，报告认为这些仍是最有效的挡板；它同时把身份这个控制平面明确扩展到非人类身份，也就是应用和智能体。指标口径也建议换一换，从「部署了多少补丁」转向「暴露面减少了多少、检测覆盖扩大了多少、缓解耗时压缩了多少」。对明年的威胁预判，报告点名三个方向：开源供应链被投毒、对边缘设备的攻击，以及 AI 作为力量倍增器。
速报
26H2 多了一条下载路径。 除了官网和 ISO，微软在下载中心单独放了 26H2 的安装助手，主站打不开时可以走这条。正式版版本号 26300.9457，x64 与 Arm64 都有；已经在 24H2 或 25H2 上正常运行的机器，设置里那个几百 KB 的启用包就够了。
VS Code 1.141 Insiders 补了几处智能体周边的细节。 10 月 1 日合入的改动里增加了一个 Background Shells 药丸，用来跟踪 Copilot harness 起的前后台 shell 进程；多实例登录开始支持同时登入多个 GHE.com 与 GitHub Enterprise Server 实例，并会校验 Copilot 的 GHE 登录项。9 月 29 日到 30 日还进了 Agents 窗口的 Run and Compare Agents 实验项，以及一条清理闲置智能体工作树的命令。
Azure 侧两件事。 第三方开放模型服务商 Fireworks AI 的推理栈接入 Microsoft Foundry，覆盖 DeepSeek、Kimi、GLM、MiniMax、Nemotron、Qwen 等系列的开源权重模型，支持自带量化或微调后的权重，部署分按 token 计费的 Serverless 与按小时预留的 PTU 两种模式，计费、RBAC、审计日志和网络隔离沿用 Azure 那一套。存储侧，Premium SSD v2 与 Ultra Disk 的增量快照开始支持即时访问，快照创建后立刻可用，不必等后台的数据拷贝走完。
Copilot 有了峰值弹性路由。 这是面向 EU 与 EFTA 租户的一项设置，允许在需求高峰时把推理放到美国、加拿大或澳洲执行，数据在传输和静态存储时都保持加密；2026 年 3 月 25 日之后新建的合格租户默认开启，更早的租户要去管理中心确认实际状态。Microsoft 365 管理中心和 Power Platform 管理中心各有一个开关，后者跟随前者的选择，且不能比前者更宽松。
一个显示名的收尾。 Windows 365 Frontline 的 20 个 SKU 在 10 月 3 日完成改名，显示名统一为 Windows 365 Flex。品牌今年 5 月就切了，滞后的是 SKU 名称；SKU ID、期限和价格都没有变化。