从这里开始，五分钟看完微软技术圈一夜之间的变化。
今日速览
- 10 月 27 日发布的 Windows App SDK 2.6.4 把 Language Model API 的 Limited Access Feature 申请环节去掉，内置 ONNX Runtime 升到 1.27.1。
- 微软威胁情报 10 月 29 日给 8 个 Sleet 系列威胁组织打了 AI 采用度分级，最高一档满了三个，最低一档一个都没有。
- 10 月 31 日微软回应 OneDrive 与 SharePoint 的 URL 探测问题，承认这类枚举不进 Entra 登录日志，也不进 Purview。
- 10 月 30 日放出的托管智能体 SDK 更新里，会话可以从已经初始化好的进程快照起跑，语音侧开始补通话环境音。
- 速报三条：Azure SQL 数据库级托管标识进预览、Hyperscale 单写架构有了公开说明、robots.txt 训练退出令牌定下微软的实施时间。
语言模型 API 不用再写申请了，控件那边还是实验品
10 月 27 日发的 Windows App SDK 2.6.4 没有发布会，也没有配大张旗鼓的博文，但里面有一个改动会直接改到所有想在 WinUI 里调用本地模型的团队：Language Model API 不再要求应用先解锁 Language Model Limited Access Feature。变更标识写在发布说明里，LanguageModel_RemoveLimitedAccessFeatureRequirement。
LAF 这套东西以前是微软给敏感能力上的闸门，申请要填用途、要等审批、批下来还跟着一串使用约束。对已经在做 Windows AI 应用的人，这道闸门的成本不在钱，在排期，一个新功能能不能进这一版，取决于审批什么时候下来。现在这一层去掉了，应用可以直接调。
同版本把内置的 ONNX Runtime 升到 1.27.1。这个升级落在 Windows AI 与机器学习的运行时能力上，上层应用通常不用改代码，但依赖 ONNX 算子集的模型能用到的新算子会跟着变，反过来也一样，某些实验性算子可能被挪走。
修的那个崩溃值得单独说一句。TextBox、RichEditBox 这类文本控件如果在应用关闭时还活着，而 XAML core 已经开始销毁，就可能撞上访问冲突。这类问题的麻烦之处在偶发、难复现，崩溃栈还常常指向框架内部而不是业务代码，团队最后往往只能靠"退出前先手动失焦"这种绕法顶住。标识是 CCoreServices_InputServicesTeardownOrder，症结在销毁顺序，改法也落在这上面。
再往下是散装的一批，覆盖 WinUI 3、应用生命周期、通知、Composition、Windows AI 五个方向的可靠性与诊断改进。这类条目官方历来只给方向不给清单，想确认自己踩的那个坑有没有被修，得去 microsoft-ui-xaml 仓库翻 issue。
控件那条线要泼点冷水。9 月 29 日的 2.5.4 实验版把 TableView、Chart 以及 InkCanvas / InkToolbar 塞了进来，在 WinUI Gallery 3.0 里可以直接试。官方说得很直白，这些控件还没到能上生产的成熟度。差在哪也讲得具体：TableView 支持列宽调整、冻结列、列模板、校验和行虚拟化，演示跑的是 11 列、5000 条交易记录，缺的是电子表格式的交互、多行选择、多列排序、层级分组和列重排；Chart 有折线、面积、柱状，有分类轴和时间轴、图例、数据标签、多序列，缺饼图、缩放和平移。
这两处缺口解释了为什么办公、财务、笔记类应用这些年一批批搬到 Electron 和 WebView2 上。数据网格和图表不是锦上添花，是这类应用的主界面。控件不齐，启动再快、内存再省也留不住人。
想动手的团队，现在的状态是语言模型那条路通了，控件那条路要等。手里是新项目、界面以列表和表单为主，2.6.4 够用；核心界面是一张能排序筛选分组编辑的大表，实验控件撑不住，得自己写，或者继续用 Web 方案。
8 个组织被分进四个档位，AI 提的是速度不是方向盘
10 月 29 日，微软威胁情报发了一份跟踪报告，把朝鲜相关的 8 个威胁组织按 AI 采用程度分成四档，emerging、expanding、accelerating、operationalized。结果是上面三档都有人，最低一档空着。
operationalized 三个，Jade Sleet、Coral Sleet、Jasper Sleet，意思是 AI 已经嵌进它们的日常工作流，不是个别环节的试用。accelerating 四个，Diamond Sleet、Onyx Sleet、Pearl Sleet、Sapphire Sleet，在多个职能上快速铺开。expanding 一个，Emerald Sleet，用在部分活动里。
微软同时把边界划清楚了，这些行动仍由人主导，没有变成完全自主。报告里的原话是 AI 主要支撑既有的目标与打击优先级，不代表动机发生变化。这句判断决定防御方要不要重构自己的模型，因为如果方向盘还在人手里，威胁模型的变化就只有速度一项，而速度是可以靠自动化和检测节奏去对冲的。
证据有几处很硬。
Jade Sleet 在 6 月 8 日到 6 月 12 日这五天里，用三家不同的空壳公司做了招聘主题的接触。每家有自己的域名、自己的社交媒体形象、自己的行业知识，接触对象是网络安全、AI、区块链和招聘四个领域的从业者。五天三家，靠人手工准备域名和话术基本不可能，微软的判断是生成式 AI 帮着做了行业调研、话术定制和铺量。
Onyx Sleet 那批 PDF 更直观。8 月到 9 月，微软归到它名下的诱饵文件超过 100 份，每份带针对具体目标的定制信息。关键证据在元数据上，几十份文件是在几分钟内生成的。人写不出这个速度，微软说这些很可能出自某个 AI 平台。这批诱饵支撑的是针对韩国用户的高频钓鱼，快速重生成还带来一个副作用，封堵名单追不上。
Coral Sleet 从 4 月起有了一套新流程，把恶意代码塞进私有的 GitHub 仓库，再并进它原有的恶意链。往私有仓库里下毒这件事，难点不在写恶意代码，在摸清目标仓库的结构、依赖和构建方式。微软说这套能力很可能借助了某个带 AI 的开发平台做出来。
Sapphire Sleet 在 8 月的 Rust 供应链事件里，恶意软件用了动态 .NET 编译，微软认为大概率是为了绕检测。相比它早期的工具，这一步是明显的工艺升级。
Jasper Sleet 做的是假员工，AI 用来写简历、准备面试答案、维持多个假身份之间的一致性。一个人编得再圆，编十个人就会露馅，AI 解决的正是这个一致性问题。
Diamond Sleet 从 8 月起回到油气行业，这是 2023 年之后的第一次，同时还建了假的电信公司配定制人设。Emerald Sleet 出现了可能是 AI 生成的语音与视频。
报告里还有一句顺带的点名，Cursor 这类 AI 编码工具很可能帮了几个组织生成、调试和混淆代码。
智能体这条线是新的。10 月下旬起，微软观察到 Onyx Sleet 与 Pearl Sleet 在用 ARTEX，一个开源的智能体 AI 渗透测试框架，能编排多个 AI 智能体做侦察和后续技术操作。这不是 ARTEX 第一次出现在实战里，10 月 21 日微软报过另一个组织 Storm-0940 用它打了数百家组织、波及 2250 多个 ConnectWise 客户租户。
防御建议分两半。人这一半，审查通过人力外包进来的人，核对候选人的手机号和社交账号有没有跟别的账号共用，推荐人要打电话或视频核实，几轮面试都出不了镜的算红旗。技术这一半，尽量封掉 OAuth device code flow，打开 Safe Links 与 Safe Attachments，面向公网的系统放到 VPN 或 WAF 后面。这些建议的共同点是它们都不新鲜，微软的价值在于把它们和一份分级放在一起，告诉防御方哪几条现在最紧。
用户名枚举被定性为低风险，代价是这件事查不到日志
10 月 31 日，微软就企业客户一直在问的一个问题给了回应，批量访问 OneDrive 与 SharePoint 的链接，能不能判断出某个用户存不存在。
答案是能。这两个服务的 URL 里经常带着用户主体名称，攻击者拿一批候选 UPN 去请求，看返回什么就能筛出哪些是真的。拿到一份有效账号名单之后，精准钓鱼、撞库、暴力破解、冒充沟通这些事才好往下做。
微软把这个行为定性为低风险侦察，理由是它本质上被动，绕过不了身份验证，也拿不到任何账户权限。这个定性在技术层面站得住，枚举出来的只是一个名字。
让人不舒服的是后面那半句。这类 URL 探测不会出现在 Microsoft Entra 的登录日志里，也不会出现在 Microsoft Purview 里。安全团队既看不到，也收不到告警。身份侧日志是按登录事件记的，一次对不存在站点集合的请求根本不算登录；Purview 管的是数据面的合规审计，一个 404 也不在里面。
换句话说，攻击链最前面那一步，在微软自己的两套主要审计工具里都是空白的。
微软给的缓解只有一层。如果某个客户端反复访问大量不存在的 OneDrive 站点集合，可能对该 IP 限流，限制期内访问会返回 HTTP 429。限流能提高批量枚举的成本，但它有两个前提，触发条件在微软手上，客户看不到阈值；限流真生效时，攻击者往往已经跑完一段。
后面那串建议是把防线往后挪，启用 MFA、配条件访问与登录风险策略、部署钓鱼防护、持续做意识培训。这四条的共同点是不解决枚举，只降低枚举成功之后的收益。对已经把这些都做完的组织，微软这次的回应没给出新的动作。
想把这段空白补上，公开材料里能确认的只有间接信号，网络出口侧对 OneDrive 与 SharePoint 域名的高频请求，以及 429 响应的比例。微软没有提供可查询的日志字段，也没有对应的检测规则，这条路径目前没有官方的补丁可打。
语音智能体开始补通话体验，快照省掉冷启动那一段
10 月 30 日，Azure SDK 几条线同时更新，托管智能体的能力表里多了几项跟"跑起来之后"有关的东西。
先说快照。托管智能体可以开一个记忆快照选项，Java 侧是 HostedAgentDefinition.setMemorySnapshotEnabled。开了之后，会话不从镜像冷启动进程，而是从该版本智能体已经初始化好的进程快照起跑。这个改动针对的是语音和实时场景里最尴尬的那几秒，模型在算，用户在听静音。快照省掉的是进程初始化那一段，模型推理的时间一点没少。
再说声音层。Voice Agent 加了 soundscape，预览状态，能做三件事，铺一层背景环境音、工具调用挂起时放等待音、在开场、转接、结束三个节点给提示音。限制写得很实在，目前只在电话通话通道渲染，持久化的会话录制里不含这层混音。用户听得到，事后调录音听不到。
输入侧的脏话过滤做成三档，MASKED、REMOVED、UNFILTERED，必须会话开始前配好，中途改不了，并且只支持托管 Azure Speech 那条路，包括 Custom Speech。
转写多了一个 Azure Speech streaming 模式，用在级联文本模型的会话里，也就是语音先转文字、再交给文本模型那一类架构。它需要设置非空的语言，支持短语提示和脏话过滤。实时 speech-to-speech 模型用不了这个模式，两条路不通用。
噪声抑制拆成两档，一档给耳机，一档给个人环境。这里有个容易误解的点，这两档改的是用于本地活动检测的音频，不改送去识别的音频，所以它影响的是"什么时候判断用户在说话"，不是"听清楚说了什么"。
破坏性变更这一版不少，升级会疼。托管的语音会话引擎契约要求被引用的托管智能体声明 voice_conversation_engine 版本 1.0.0，以前用 invocations_ws 顶替的做法不再算数；VoiceAgentDefinition 在两个位置参数前面各插了个新参数，postCall 与 soundscape，按位置传参的代码会编译不过，或者更麻烦地悄悄错位；OtlpTelemetryEndpoint.Endpoint 从 string 改成 System.Uri；AllowedTools 换成 McpToolFilter，MCPToolboxTool 那个还要额外打开 AAIP002 实验开关；BrowserAutomationPreviewTool 系列整体弃用，要换成不带 preview 的版本。
这批改动的方向很清楚，语音智能体从"能不能听懂"往"听起来像不像一通电话"走。背景音和等待音在技术上不难，难的是产品判断，什么时候该有声音、什么时候该安静。微软现在把开关给出来了，默认值还没给。
还有几条
- Azure SQL 数据库级托管标识进预览（10 月 30 日进路线图）：每个数据库可以用自己的用户分配托管标识去查 Blob 与 ADLS Gen2 里的文件，走 external table 与 OPENROWSET，不用再存 SAS 令牌，也不用共享服务器级身份。落点是同一台逻辑服务器上不同库之间的权限隔离，HR 库只能看 HR 的文件。
- Hyperscale 单写架构有了公开说明（10 月 30 日）：Azure SQL Database Hyperscale 保持单写，写操作集中在一个 SQL 引擎里，靠这个保住 ACID 语义、避开分布式提交协议；存储独立扩到 128 TB，计算到 192 vCore，日志吞吐 150 MB/s，支持 30 个命名副本加 4 个高可用副本。无服务器自动暂停与恢复在这一档还是预览。
- robots.txt 训练退出令牌定下时间（10 月 30 日四家联合提交 IETF 草案）：一个 policy token 写进 robots.txt，就能对所有生成式训练爬虫生效，不用给每家 AI 公司各写一条。微软 2027 年 2 月 1 日起实施，另外单独给了一个 AI Grounding 开关，管的是模型为了回答用户问题来抓页面这件事。两条都不影响站点在 Bing 搜索结果里的排名。
今天这四条放在一起看，微软这一周在三个方向上做的是同一件事，把权限与边界从"申请与约定"改成"配置与契约"。语言模型 API 取消了审批环节，语音引擎把会话契约钉到 1.0.0，威胁组织那边则被按 AI 渗透程度分成了档。中间那条 OneDrive 的回应是个反例，边界划得清楚，可见性没跟上。