Dependabot 版本更新支持 Agent Package Manager，可自动维护智能体技能与提示

GitHub 于 2026 年 11 月 3 日发布更新，Dependabot 版本更新开始支持 Agent Package Manager（APM）。这意味着开发者可以把 AI 智能体的技能、提示词和指令作为依赖交给 Dependabot 维护，由它自动提交更新拉取请求。该能力目前覆盖版本更新而非安全更新，已在 github.com 正式上线。

APM 依赖纳入自动更新范围

GitHub 为 Dependabot 版本更新增加了对 Agent Package Manager 的支持。按照官方说明，开发者现在可以让 AI 智能体的技能、提示词和指令保持更新，这些内容此前通常以文件形式散落在仓库中，如今通过 APM 以依赖方式声明。

Dependabot 会针对 apm.yml 中声明的受支持 git 依赖提交拉取请求，完成版本更新。当仓库中存在 apm.lock.yaml 时，Dependabot 还会重新生成该锁文件，使依赖声明与锁定结果保持一致。

仅覆盖版本更新，不含安全更新

GitHub 明确说明，此次支持的范围是版本更新（version updates），不包含安全更新（security updates）。也就是说，Dependabot 会按配置的节奏检查并升级 APM 依赖版本，但不会因为安全公告而自动触发 APM 相关的安全修复流程。

对于把智能体配置视为普通依赖管理的团队，这一区分决定了 APM 依赖目前只能获得常规的版本跟进能力，安全层面的自动化仍需依赖其他机制或人工处理。

接入方式与配置位置

启用方式是在仓库的 .github/dependabot.yml 文件中添加一个 apm 条目，指定包含 apm.yml 的目录，并选择更新计划（update schedule）。配置完成后，Dependabot 会按该计划检查 apm.yml 中声明的受支持 git 依赖。

官方同时提供了关于配置 Dependabot 版本更新、受支持 APM 依赖及更新行为的文档链接，以及社区讨论入口，供开发者进一步了解具体依赖范围和更新逻辑。

可用范围与版本计划

APM 支持已在 github.com 上正式可用（generally available），面向所有 GitHub 套餐开放，不区分付费层级。对于 GitHub Enterprise Server 用户，该能力计划在 3.24 版本中提供。

这意味着托管在 github.com 上的公共与私有仓库均可按上述方式配置，而自托管企业版用户需要等待对应版本发布后才能使用。

知序观察

观察：把智能体的技能、提示词和指令纳入 Dependabot 的依赖更新流程，意味着这类资产开始按软件依赖的方式被版本化管理，团队可以像跟进普通库版本一样跟进智能体配置的变更。不过此次仅覆盖版本更新，安全更新缺席，说明 APM 依赖的安全响应链路尚未打通，实际使用中仍需配合其他审查手段。