GitHub Dependabot、AIエージェント用パッケージ管理「APM」に対応

何が発表されたか

GitHub は Dependabot のバージョン更新が Agent Package Manager（APM）に対応したと公表した。AIエージェントのスキル、プロンプト、インストラクションを最新に保つための機能である。

• Dependabot は apm.yml に宣言された対応Git依存関係の更新プルリクエストを作成する。
• apm.lock.yaml が存在する場合は、Dependabot が同ファイルも再生成する。
• 対応エコシステムは APM のみ。
• 発表時点で github.com の全 GitHub プランで一般提供。GitHub Enterprise Server では 3.24 で利用できるようになる。
• 有効化は、.github/dependabot.yml に apm エントリを追加し、apm.yml があるディレクトリを指定して更新スケジュールを選ぶ。

今回の対応はバージョン更新のみで、セキュリティ更新は含まれない。発表文は「This support covers version updates, not security updates.」と明記している。

開発者への影響

• エージェントのスキルやプロンプトを外部から取り込んで使っている場合、これまで手で追いかけていた更新をプルリクエストとして受け取れるようになる。
• 一方でセキュリティ更新の対象外である点は、運用の前提として押さえておく必要がある。APM 経由で入れた依存関係に問題が見つかったときに、Dependabot の security update が自動で動くわけではない。
• 設定は既存の .github/dependabot.yml に追記する形なので、他のエコシステムの設定と同じファイルで管理できる。更新スケジュールを細かく刻むとプルリクエストが増えるため、レビュー体制と合わせて決めるのが現実的だろう。
• GitHub Enterprise Server を使っている場合は 3.24 を待つ必要がある。