Dependabot يدعم Agent Package Manager لتحديث إصدارات الـ skills والـ prompts

أعلنت GitHub في 3 نوفمبر 2026 أن Dependabot صار يدعم Agent Package Manager، واختصاره APM. وهي أداة مفتوحة المصدر من Microsoft لإدارة الـ dependencies الخاصة بالـ agents، أي الـ skills والـ prompts والتعليمات التي يعتمد عليها الـ agent في عمله.

وتشبه آلية العمل ما يعرفه أي مطور يستخدم npm. يكتب المطور في ملف apm.yml الـ git dependencies الخاصة بالـ skills والـ prompts والتعليمات. ثم يثبّت ملف apm.lock.yaml الشجرة المحلولة لهذه الاعتماديات، تمامًا كما يفعل package-lock.json. وبإضافة مدخل باسم apm إلى ملف .github/dependabot.yml وتحديد جدول زمني، يبدأ Dependabot بفتح pull requests كلما صدر إصدار جديد.

لكن الإعلان نفسه يتضمن قيدًا واضحًا: الدعم يغطي version updates، لا security updates. أي أن Dependabot يخبر الفريق بوجود إصدار أحدث من skill ما، لكنه لا ينبّه إلى أن إصدارًا منها صار يحتوي شيئًا ضارًا.

وهذا الفارق أهم هنا منه في الحزم البرمجية العادية. فمحتوى الـ skill نص يوجّه سلوك agent يملك صلاحيات داخل المشروع، وليس كودًا يُفحص في مراجعة الكود المعتادة. ولذلك يصبح الـ pull request القادم من البوت تغييرًا في سلوك الـ agent، حتى لو بدا تحديثًا روتينيًا لرقم إصدار.

وبهذه الخطوة تدخل الـ skills والـ prompts رسميًا في دائرة الـ supply chain، بأدواتها المعروفة من lockfile وتحديثات آلية، بينما تبقى طبقة التنبيهات الأمنية التي ترافق الحزم البرمجية غائبة عنها حتى الآن.