Dependabot 版本更新支持 Agent Package Manager，为 apm.yml 里声明的智能体技能、提示词和指令开 PR
智能体技能和指令也能像代码依赖一样，自动收到版本更新 PR。
// 要点
- Dependabot 为 apm.yml 里声明的受支持 git 依赖开更新 PR，存在 apm.lock.yaml 时会重新生成
- 只做版本更新，不做安全更新
- 在 .github/dependabot.yml 里加一个 apm 条目，指定 apm.yml 所在目录和更新频率即可
- github.com 所有套餐正式可用，GitHub Enterprise Server 3.24 随后支持
开发者视角技能和指令有了锁文件，更新就要按代码来审：每个 PR 都看 diff，一句指令变了，智能体拿着仓库凭据做的事就可能跟着变。这里不含安全更新，所以我仍会把技能来源限定在信得过的发布者，和扩展白名单是同一个思路。
// 来龙去脉 · 来自 #编码智能体 专题
看完整时间线 →- 11-04 GitHub Copilot 通过 Agent Client Protocol 接入 JetBrains Air，云端任务走 Copilot 订阅而不是 JetBrains AI 额度
- 11-04 CWE-bench v2 公开 100 道覆盖 91 类 CWE 的漏洞修复题：Gemini 4 Argon 以 67.8% pass@1 领先，Claude Opus 5.5 为 67.3%，DeepSeek V4.1 Flash 每次 0.04 美元做到 57.0%
- 11-03 GitHub Actions 12 月 2 日起在公开仓库默认拦截 pull_request_target，11 月 9 日和 16 日先做两次限时拦截