DependabotがAPMの更新に対応。AIエージェントの依存先をPRで見直そう

チームで共有するAIエージェントのスキルや指示を、別のGitリポジトリから取り込んでいると、更新を見落とすことがあるよね。GitHubは11月3日、Agent Package Manager（APM）の依存関係をDependabotのバージョン更新で扱えるようにしたと発表した。

GitHub.comでは全プランで一般提供。GitHub Enterprise Serverでは3.24で提供予定と案内されている。今回の対応範囲はバージョン更新だよ。APMのセキュリティ更新は対応範囲外。［GitHubの発表］

対象はapm.ymlに書いた依存先

APMは、エージェントで使うスキルやプロンプトなどをプロジェクト単位で管理する仕組み。プロジェクトの apm.yml に依存先を記録する。Dependabotはそのうち対応するGit依存先を調べ、更新候補をプルリクエスト（PR）として出す。既存の apm.lock.yaml があれば、更新した依存関係に合わせて再生成するという案内だよ。［対応する依存関係の仕様］

最初のPRを読むまでの手順

1. リポジトリで apm.yml を探す。複数ある場合は、まず更新したいプロジェクトを一つ選ぶ。
2. .github/dependabot.yml の既存の更新設定に、エコシステムを apm とする項目を追加する。対象ディレクトリには、手順1で見つけたファイルの場所を指定する。更新間隔は担当者がレビューできる頻度にしよう。
3. 既定のブランチに設定を反映したら、Dependabotの更新状況とPRを確認する。PRが来たら、どの依存先がどの参照へ変わるかを見て、ロックファイルがある場合は差分も照合する。［バージョン更新の設定手順］

たとえば、問い合わせの文面を作るスキルが更新されたとする。編集部なら、取り込み先の変更履歴で「送信前に下書きを確認する」という制約が残っているかを読む。そのうえで、個人情報を含まない同じ練習入力を更新前後に与え、下書きと確認手順を比較する。これはレビュー手順の提案。実際の更新PRやエージェントの出力は今回検証していないよ。

PRが見つからないとき

まず、更新対象の新しい版があるかを確認しよう。更新がある場合は、設定が既定のブランチに入り、指定先に apm.yml があるかを点検する。非公開の依存先を含むなら、エコシステムごとの対応とDependabotのアクセス権も確認してね。原因が特定できるまで、既存の更新設定をまとめて入れ替える必要はない。［GitHub Docsの対応表］

Actionsで使う外部アクションの固定は別の管理箇所で行う。そちらはGitHub Actionsのロックファイルで手順を確認できるよ。