2026 年的 Windows 11 有一个让企业 IT 管理员不太舒服的变化：操作系统开始像云服务一样“静默进化”，而且进化的部分没有发布说明。
这不是危言耸听。今年 Copilot+ PC 用户收到了两个特殊的更新包——KB5124890（面向高通平台，更新 Phi Silica 模型）和 KB5124888（面向 AMD 平台，更新图像处理模型），版本号 1.2607.840.0。它们的特殊之处在于：没有发布说明、不经过用户确认、静默安装、无法单独卸载。
26H2 带来了什么：几个实用变化
抛开 AI，Windows 11 26H2 版本本身有几个用户呼声已久的改进：
| 功能 | 说明 | 实际价值 |
|---|---|---|
| 任务栏位置可调 | 可以把任务栏移到屏幕顶部或左右侧（自 Windows 11 发布以来被砍掉的功能终于回归） | 多屏和竖屏用户受益明显；接了带鱼屏或竖置副屏的人终于不用别扭了 |
| 自然语言搜索 | 文件资源管理器支持“上周张三发我的报价单”这类自然语言查询，由 NPU 本地处理 | 对文档量大的岗位（销售、行政、法务）真的有用；但依赖 NPU，老机器用不了 |
| NPU 本地 AI 能力扩展 | 实时字幕、通话降噪、图像增强、Studio Effects 等功能全面下放到 NPU 执行 | 功耗大幅降低（NPU 执行比 GPU 省电 65-80%），笔记本续航受益 |
| 设置界面重构 | 更多控制面板项迁移到现代设置应用 | 对普通用户是简化，对企业脚本和自动化是麻烦（老的路径和控制面板项被移除） |
这些改进本身没问题。问题是它们和 AI 模型捆绑在一起推送，而 AI 模型部分是不透明的。
静默 AI 更新：技术细节与门槛
KB5124890 和 KB5124888 这两个更新包的具体情况：
- 适用条件：仅限 Copilot+ PC（NPU 算力 ≥40 TOPS）且系统版本为 Windows 11 26H1 及以上。普通 PC 完全不会收到，也无法安装。
- 内容：高通平台的 Phi Silica 模型（微软为端侧优化的语言模型，负责自然语言搜索、文本理解、摘要等功能）；AMD 平台的图像处理模型（负责 Studio Effects、图像增强、超分等）。
- 版本号：1.2607.840.0，属于“AI 组件版本”，独立于 Windows 系统版本号。
- 推送方式：通过 Windows Update 静默下发，无用户交互提示，安装后无发布说明，不进入“更新历史记录”的常规列表（需要到特定组件页面才能看到）。
- 回滚：不支持单独卸载。出问题只能通过系统还原点或回退整个 Windows 更新来解决。
为什么这对企业是问题？三个具体风险：
- 无法做变更管理。正规企业的 IT 流程要求所有系统变更有记录、有评估、有回滚方案。一个没有发布说明的模型更新，IT 部门无法评估它会不会影响业务软件（比如某个依赖系统 OCR 或图像处理的行业软件，模型换了可能识别结果就变了）。
- 无法预知行为变化。模型更新意味着 AI 功能的输出可能变化。自然语言搜索的结果排序、图像增强的效果、字幕识别的准确率，都可能在一次静默更新后改变。对普通用户是“咦好像不一样了”，对依赖这些功能的业务流程是事故。
- 合规与审计困难。金融、医疗、政企等受监管行业需要证明系统状态可追溯。一个说不清内容、看不出时间的模型更新，审计时无法解释。
企业 IT 的应对方案：五层管控
好消息是这些变更可以管住，坏消息是需要提前配置，事后补救很被动。
1. 用 WSUS/SCCM 接管更新审批
这是最根本的一层。把所有终端的 Windows Update 指向企业内部 WSUS 服务器（或用 MECM/Intune），所有更新（包括 AI 组件更新）必须经管理员审批才能下发。配置路径：组策略 → 计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 管理从 Windows 更新提供的更新 → 指定 intranet Microsoft 更新服务位置。
要点：确认 WSUS 的“产品分类”和“更新分类”里勾选了所有类别，早期版本的 WSUS 对这类 AI 组件更新的分类支持不完善，需要更新 WSUS 本身到最新版本。
2. 组策略关闭特定 AI 功能
如果不需要 AI 功能（很多企业的生产环境根本用不上），可以直接关掉，从源头消除风险：
| 策略路径 | 作用 |
|---|---|
| 计算机配置 → 管理模板 → Windows 组件 → Windows Copilot → 关闭 Windows Copilot | 禁用 Copilot 侧边栏 |
| 计算机配置 → 管理模板 → Windows AI → 关闭 AI 模型自动更新 | 阻止静默模型推送（26H2 新增策略项） |
| 用户配置 → 管理模板 → 开始菜单和任务栏 → 关闭搜索亮点/自然语言搜索 | 禁用相关 UI 与后台索引 |
| 计算机配置 → 管理模板 → Windows 组件 → 相机 → 关闭 Windows Studio Effects | 禁用视频通话的 AI 图像处理 |
注意：部分策略仅对专业版/企业版生效，家庭版无法用组策略管控。企业采购终端一律选专业版，这个差价（约 300-500 元/台）不能省。
3. 分批灰度，不要全员同步升级
把终端分成三个环：IT 部门测试机（1-2 台）→ 试点组（5-10 台，选不同部门的非关键岗位）→ 全员。每个环间隔 2-4 周，观察业务软件是否正常。特别是依赖系统级 OCR、语音、图像处理的行业软件（医疗影像、财务票据识别、CAD 插件），必须实测。
4. 建立 AI 功能使用规范
技术管控之外还要有制度管控：明确哪些数据不能输入 AI 功能（客户个人信息、报价成本、未公开的图纸）、Recall（回顾功能，会截屏记录用户操作）在涉密岗位必须禁用、自然语言搜索的索引范围要排除敏感目录。这些不是技术问题，是管理问题，但必须由 IT 部门牵头写进制度。
5. 资产台账标注 NPU 能力
2026 年之后，终端资产台账要多加一列“NPU 算力”。因为它决定了这台机器会不会收到 AI 更新、能不能用 AI 功能、以及未来三年是否需要更换。没有 NPU 的老机器（2024 年前的绝大多数设备）不会收到这些更新，但也会逐步失去新系统的支持——这是另一笔账，见《Windows 10 停止支持》那篇。
给个人用户的简化建议
- 如果你的电脑是 Copilot+ PC（2024 年后的骁龙 X、酷睿 Ultra 200V/300、锐龙 AI 300 机型），这些 AI 功能默认开启，觉得好用就留着，觉得多余可以在“设置 → 隐私和安全性”里逐项关闭。
- 不需要的功能建议关掉，特别是 Recall（回顾）和搜索索引，它们会持续占用磁盘和 CPU 资源，还可能记录你不想被记录的内容。
- 老电脑（无 NPU）完全不受影响，不会收到这些更新，不用担心“我的电脑会不会被偷偷装 AI”。
宇际航提供企业 IT 外包与运维服务：WSUS/域控部署与更新策略配置、组策略批量下发、终端资产台账建立、Windows 版本升级评估与灰度实施、AI 功能合规管控方案设计。广州全区上门，按月/按年服务费（20 人以下小微企业 1500-3000 元/月，含不限次远程支持和每月一次上门巡检）。也做 Windows 11 专业版批量授权与品牌机采购。电话 020-39029800。