Dependabot научился обновлять пакеты навыков и инструкций ИИ-агентов
Этап AI SDLC: Релиз → Конвейер3 ноября GitHub объявил в changelog: Dependabot version updates теперь поддерживает Agent Package Manager (APM) — формат пакетов для ИИ-агентов, в которых хранятся навыки, промпты и инструкции. Dependabot открывает pull request с обновлением тех git-зависимостей из apm.yml, которые он умеет обновлять, и пересобирает lock-файл apm.lock.yaml, если он есть. Поддержка покрывает только версионные обновления — обновлений безопасности пока нет. Включается запись apm в .github/dependabot.yml с указанием каталога apm.yml и расписания проверок. Функция общедоступна на github.com для всех тарифов; в GitHub Enterprise Server появится с версии 3.24. Документация формата опубликована на GitHub в организации Microsoft.
Смысл шага шире одной интеграции: инструкции и навыки агента впервые обновляются как обычный пакет — с версиями, историей изменений и автоматическими предложениями обновлений.
Что с этим делать
- Если ваши навыки и инструкции собраны из внешних репозиториев, попробуйте оформить их как пакет APM и включить dependabot-запись: обновления должны приходить как запросы на слияние с обзором изменений.
- Заведите lock-файл: без фиксации версий навыков поведение агента между средами не воспроизводится.
- Ревью обновлений инструкций ведите как ревью кода: вредоносную инструкцию можно спрятать в текст навыка так же, как в комментарий кода.