Buildkite更新：密钥与MCP工具升级

```html Buildkite更新：密钥与MCP工具升级 Buildkite更新：密钥与MCP工具升级

Continuous integration provider Buildkite has introduced pipeline-scoped secrets and new Model Context Protocol tools for validating pipelines, diagnosing failed builds and repairing webhooks. The company has also added Linux arm64 support to its GitHub Actions compatibility layer and expanded OpenTelemetry data in Buildkite Agent v4.1.0.

管道级密钥

新的密钥视图放在Pipeline settings下面，工程师可以创建集群密钥，但访问范围被限制在当前管道内，不必再从更大的集群界面里统一管理所有密钥。团队还能给密钥加条件：分支、队列、构建来源、构建创建者。密钥值在创建之后就保持隐藏。

Buildkite的Matt Mejia在公告里写道，这个改动“把管道专属的密钥放在一起”，同时还能看到集群管理着多少其他密钥。使用前提是用户同时拥有编辑管道和管理其集群的权限。GitHub Actions管道在首次工作流运行前，也会显示一个指向密钥配置的提示。

他给出的定义很直接：“管道密钥就是限制在当前管道内的集群密钥，分支、队列、构建来源或创建者条件会进一步收窄访问范围。”

配套的还有CLI。Buildkite CLI新增了迁移GitHub Actions密钥的命令，3.59.1版本修复了迁移过程中相对工作流路径的处理问题。Agent v4.0.9按前缀在作业日志中脱敏Buildkite令牌，v4.0.8则用作业注册的密钥对捕获的作业错误做脱敏。

这些改动针对的是凭据可能泄露或配置出错的几个环节。不过限定范围的存储，并不能替代对步骤内部使用方式的控制。Buildkite自己的文档建议团队只把密钥暴露给真正需要它的步骤。

MCP服务器工具

功能改动最多的是开源MCP服务器。新工具validate_pipeline按Buildkite官方schema检查管道YAML的语法和结构，不上传、不启动构建，返回路径和错误信息供AI编码代理修正无效步骤。它不覆盖环境变量插值、插件配置、依赖引用和动态生成的步骤。

第二个工具compare_builds把失败构建与同分支上最近一次成功构建对比，也可以和另一个指定构建对比。它报告哪些步骤新失败、已恢复或持续损坏，并附上运行时长和重试次数的变化。对最多三个新失败的步骤，它会带上作业日志的结尾，让代理拿到一些即时的诊断上下文。

Mejia对此的判断是：“仅靠日志访问并不能调试构建。”

MCP版本还加入了Test Engine执行追踪和最慢执行查询。另一个工具create_pipeline_webhook能给已有管道补上缺失的GitHub webhook，省去重建管道的麻烦。1.23.0版本改了create_pipeline，调用方必须指定create_webhook，这是破坏性变更。

有一处默认行为在评估之后被改了回去：失败摘要重新包含从未运行的作业，因为把这一行为做成可选项，会导致代理发出额外的工具调用。远程MCP连接现在可以通过在服务器URL中加入组织名，固定到某一个Buildkite组织，工具集URL和只读URL都支持这个选项。

给代理提供独立的验证、对比和修复工具，目的是减少它们对解析完整日志和拼装底层API调用的依赖。权限依然重要，因为webhook修复和管道创建都能改动CI配置。

arm64支持与兼容性修复

GitHub Actions兼容层现在可以在Linux arm64代理上运行导入器和生成的作业。像ubuntu-24.04-arm这样的标签需要显式队列映射，不会回退到x86-64或模拟。拥有arm64 CI集群的组织，把兼容的Actions工作流搬到Buildkite时可以保留原有架构。

其他兼容性修复涉及服务容器配置中的环境值、命名密钥、运行时变量和矩阵值。更多strategy.*值被暴露给作业和步骤表达式。路径过滤器使用的变更文件上限从300提高到3000，同时修复了原始推送后分支发生移动的推送工作流问题。

Agent v4.1.0遥测与Elastic CI Stack v7

Agent v4.1.0把缓存保存和恢复的时长与大小加入Buildkite遥测。OpenTelemetry作业span现在包含提交、拉取请求和构建作者，为排查慢作业或重试模式的团队补充上下文。

配套的Elastic CI Stack v7把Agent v4带到AWS上的Linux和Windows实例，移除Agent v3支持，并淘汰或替换部分追踪与取消参数。升级前需要检查自定义参数文件、部署自动化以及通过AgentEnvFileUrl提供的值。所有Agent v3版本的支持将在2027年9月3日结束。