Dependabot обновляет зависимости Agent Package Manager в apm.yml

GitHub подключил Agent Package Manager к Dependabot: бот открывает pull request с новыми версиями git-зависимостей из apm.yml и пересобирает apm.lock.yaml. Поддержка касается только обновлений версий, security updates для APM не покрываются.

GitHub расширил Dependabot: с 3 ноября 2026 года сервис умеет обновлять зависимости Agent Package Manager (APM). Речь о пакетах, в которых команды хранят навыки, промпты и инструкции для AI-агентов. Когда выходит новая версия git-зависимости, Dependabot открывает pull request с правкой apm.yml и заново собирает apm.lock.yaml, если файл блокировки есть в репозитории.

Как подключить обновления для apm.yml

В файл .github/dependabot.yml добавляется отдельная запись с экосистемой apm. В ней указывают каталог, где лежит apm.yml, и расписание проверок. Дальше Dependabot сам сверяет зафиксированные версии с доступными и готовит изменения.

Поддержка уже работает на github.com и включена для всех тарифов GitHub, включая бесплатный. В GitHub Enterprise Server функция появится в версии 3.24, поэтому на более старых серверных установках запись в конфигурации ничего не даст.

Обновления версий без закрытия уязвимостей

Поддержка APM в Dependabot охватывает version updates, то есть плановое обновление версий. Security updates в неё не входят: если в пакете с промптами или инструкциями появится исправление безопасности, автоматический pull request Dependabot не откроет. Такие изменения команде придётся отслеживать самостоятельно, например по журналу релизов пакета или по тегам в его репозитории.

Что делает Dependabot	Что остаётся на команде
Открывает pull request при выходе новой версии git-зависимости из apm.yml	Решает, какие версии допустимы и насколько часто обновляться
Пересобирает apm.lock.yaml, если файл есть в репозитории	Читает diff в тексте промптов и инструкций до merge
Работает по расписанию из .github/dependabot.yml	Закрывает вопросы безопасности: security updates для APM не поддерживаются

Промпты и инструкции в общем потоке обновлений

APM описывает агентские навыки и инструкции как пакеты с версиями, поэтому их обновление идёт тем же маршрутом, что и зависимости обычного проекта: отдельная ветка, diff, ревью, слияние. Для репозитория это значит, что правки в тексте промпта видны в pull request рядом с кодом, а не приходят незаметно при следующем запуске агента.

Побочный эффект тоже предсказуем: если пакет обновляется часто, поток pull request растёт, и на ревью нужно выделять время. Расписание в dependabot.yml позволяет проверить это заранее и не включать ежедневные прогоны для активно меняющегося пакета.

Что проверить перед включением

Сначала убедитесь, что apm.yml лежит именно в том каталоге, который указан в dependabot.yml, иначе Dependabot не найдёт манифест. Затем проверьте, закоммичен ли apm.lock.yaml: без него пересборка блокировки не запустится. Отдельно договоритесь, кто просматривает diff в промптах и инструкциях перед слиянием, и сверьте версию GitHub Enterprise Server, если репозиторий живёт не на github.com.