8月31日发布的Istio 1.31新增了一类名为istio-agentgateway-waypoint的GatewayClass，让团队在ambient网格环境中可以用agentgateway充当七层waypoint代理。不过该版本也同时宣告终止通过Google Cloud平台的分发。维持原有分发方式、继续使用gcr.io/istio-release或Google所运营的Helm仓库的团队需要做出调整，应该在10月13日预先安排的断供演练到来之前迁移到registry.istio.io，相关服务并入12月正式下线。Istio 1.31.0支持的Kubernetes版本区间为1.32到1.36。
Waypoint能力落地：agentgateway、Liste
此次的waypoint能力建立在1.30版本提供的实验性纯网关集成之上。agentgateway由Solo.io捐献给Linux基金会，采用Rust编写，面向智能体流量场景，除了常规HTTP之外，还可承载模型上下文协议（MCP）等协议。Istio 1.31另外修复了agentgateway后端在ListenerSet处理以及mTLS连接方面的问题。当前waypoint之间的流量迁移仍处于Alpha阶段，维护人员提示其标签、注解与行为都可能出现变动。
与之配套的还有新引入的流量迁移机制。服务或命名空间能够借助use-waypoint-canary标签，指定主waypoint之外的一个金丝雀waypoint，再通过use-waypoint-canary-weight注解设定一个可调比例，让新建的网格内连接按该比例转向金丝雀waypoint，整个过程无需改动客户端。已经建立的连接不参与迁移，所以长连接的存在可能使流量拆分的实际效果延后出现。
9月21日推出的Istio 1.31.1修补了一个缺陷：如果某个agentgateway waypoint仅被当作金丝雀引用，它拿不到引用它的服务所对应的路由与策略，导致迁移过去的连接遭到拒绝。该补丁同时纳入安全修复，并解决了纯IPv6集群下ALLOW_ANY_DYNAMIC_DNS的转发异常。
面向大体量网格：可用区感知与动态DNS
对规模较大的网格而言，两项新增的流量管理特性尤为关键。DestinationRule与MeshConfig加入了zoneAwareLbSetting字段，允许Envoy把请求导向下游代理所属可用区内的端点，只有本地容量不够时才向其他可用区溢出。这一判断由Envoy自行完成，无需再像localityLbSetting那样预先配置静态百分比。另一项ALLOW_ANY_DYNAMIC_DNS出站模式会在请求发出时依据HTTP Host标头来解析主机名，从而省去为每个外部目标逐一编写ServiceEntry的工作。
安全策略收紧：FIPS模式与信任域匹配
在安全层面，COMPLIANCE_POLICY环境变量增加fips-140-3取值，可将TLS约束在1.2或更高版本，并只放行符合FIPS规范的密码套件以及P-256和P-384曲线。变更说明强调，Go组件必须用Go 1.24或更高版本编译，并采用GOFIPS140=v1.0.0或更高的已基准验证版本；仅仅在运行时设定该策略并不够。AuthorizationPolicy新增trustDomains与notTrustDomains字段，可依托从对等端证书里提取的信任域来匹配或排除请求。
迁移背后的原因与后续时间表
托管平台变更迫使仍在使用当前仓库的团队采取动作。来自Microsoft的Steven Jin与Solo.io的Keith Mattix在8月21日的Istio博客中表示："由于资金模式发生变化，今年 Istio 正在将全部基础设施从 Google Cloud Platform 迁移到 Amazon Web Services。"下一次预定的断供演练在10月13日15:00至18:00（UTC）停用旧端点；最终演练则从12月8日15:00（UTC）持续到12月9日15:00（UTC）。对镜像签名做校验的团队还要留意密钥轮换：迁移指南给出的istio-key.pub适用于1.31.0，而istio-key-v2.pub对应1.31.1及之后的版本。在跟踪此事的GitHub Issue下有用户提问，项目为何选择Docker Hub而不选GHCR，Jin回复说："GHCR 存在一些未公开的限制。"并补充说："按照我们目前的使用量，我认为我们很容易就会超过那些限制。"
发布与应用提示
关于获取渠道与升级路径的完整说明可参考官方发布的原文报道（出自InfoQ）：https://www.infoq.com/news/2026/10/istio-1-31-agentgateway/。
小结：Istio 1.31把Rust实现的agentgateway带入ambient模式的七层waypoint通道，并以金丝雀标签配置细分流量，同时因资金模式变动全面停止Google Cloud分发，相关镜像与Helm仓库将在12月退役，团队应在10月断供演练前完成向registry.istio.io的迁移并处理签名密钥轮换。