服务对象与地域限制
PuppyIP 仅面向海外合规企业及其授权人员提供服务，不面向中国大陆地区开放或提供代理服务。本服务仅限用于中国大陆境外的合法业务活动，严禁在中国大陆境内使用本服务。
代理 IP 或服务器位于境外，不改变上述限制。不得通过中转、转接、共享或转售向中国大陆境内的最终使用者提供本服务。使用前请阅读用户服务协议。
本文要点
- GitHub 11 月 3 日宣布 APM 版本更新在 github.com 全计划正式可用；公告把 GHES 3.24 写为后续支持，不能据此确认某个自托管实例已可用。
- dependencies.apm 和 devDependencies.apm 下的受支持 Git 字符串依赖可更新；标签、完整 SHA 与分支各有不同规则。
- 已有 apm.lock.yaml 会被重新生成；没有时不会新建。分支依赖的更新必须有这个锁文件。
- GA 不需要旧 beta 开关；针对仍要求开关的公开报错，移除 APM beta 检查的修复已合并，但具体仓库是否恢复仍需实际核对。
哪些仓库可以开始用？
APM 是 Agent Package Manager，用于管理智能体的技能、提示词、指令等依赖。GitHub 在 2026 年 11 月 3 日宣布，Dependabot 已能为 apm.yml 中受支持的 Git 依赖打开版本更新 Pull Request（PR，即供团队审阅的变更请求）。github.com 上所有 GitHub 计划均在正式可用范围内；公告没有单独说明价格。
同一公告说支持将进入 GitHub Enterprise Server 3.24。这个未来安排不证明任意 GHES 实例已经支持；自托管团队应核对自己的版本与对应发布说明。本文于 11 月 12 日（亚洲/上海）复核公开资料，未测试任何私有仓库或账号。
支持范围明确是版本更新，不是安全更新。它能提出依赖版本变化，不能由此推断已经扫描出提示词漏洞、保证指令安全或自动修复安全问题。
标签、完整 SHA 和分支分别怎样更新？
Dependabot 读取 dependencies.apm 和 devDependencies.apm。语义化版本标签（SemVer，例如 v1.0.0）会更新到最新 SemVer 标签；普通标签和包专属标签都支持。包专属标签必须以包名开头，包名取仓库名或虚拟包路径的最后一段，例如 octo-org/octo-skills/skills/review#review-v1.4.0。
固定到完整 40 字符提交 SHA 的条目，会更新到最新带注释、非预发布版本标签所对应的提交，并用注释标出标签名。短 SHA 不在支持范围内；不能把这个规则理解成追随任意最新提交。
固定到分支（例如 octo-org/octo-skills#main）时，更新目标是该分支的最新提交。清单仍保留分支名，因此只改 apm.lock.yaml，而且仓库必须已经有这个文件。
为什么分支没更新，锁文件也没出现？
若仓库已有 apm.lock.yaml，Dependabot 会通过 apm lock 重新生成它；若不存在，Dependabot 不会创建。先判断自己期待的是清单中的标签变化，还是锁文件中的分支提交变化，再查看对应文件差异。
举个未执行的假设例子：团队在 apm.yml 写入 octo-org/octo-skills#main，却没有提交锁文件。依照当前规则，不能期待 Dependabot 为这个分支自动补出锁文件并追踪提交。应由维护者按 APM 的正常流程准备、审阅并提交锁文件，再验证后续更新。
反过来，如果清单中的分支名保持 main，而锁文件固定提交已改变，这可能正是预期更新。仍要审阅具体改动；“只改锁文件”不等于技能内容没有变化。
哪些依赖写法会被跳过？
当前文档排除对象形式的 git:、registry:、id:、path: 映射，以及 mcp: 条目；没有 ref 的条目、本地路径、Azure DevOps 托管条目也不更新。http:// 或 git:// 克隆 URL、YAML 块标量、含转义序列的引号字符串与短 SHA 同样不支持。
如果 apm.yml 设置了 registries.default，类似 octo-org/octo-skills#v1.2.0 的简写条目不会更新；显式克隆 URL 的条目仍可更新，但也必须满足前述协议和写法限制。不要只因仓库被识别，就推断其中每一项依赖都可更新。
私有 Git 依赖通过 Dependabot 的 git registry 配置授权。能识别清单不等于已获得依赖仓库访问权；需要私有访问时，由有权限的维护者按官方文档配置，不要把访问凭据写入技能文件或公开问题。
怎样配置，并判断一次更新真的完成？
在 .github/dependabot.yml 的 updates 中添加 package-ecosystem 为 apm 的条目，directory 指向包含 apm.yml 的目录，再选择 schedule。目录是清单所在位置，不是下载后技能的目录；已有其他生态配置时保留它们。
先检查这三项配置，再对照支持范围检查依赖写法、ref 和锁文件。查看实际 Dependabot 运行结果与 PR 文件差异；没有 PR 时先区分无可更新版本、条目不支持、授权不足或运行错误，不要直接认定系统没有运行。
PR 只是待审阅变更。团队应对照新旧技能、提示词和指令检查行为及权限变化，按正常流程验证后再合并，并核对项目实际采用的版本。创建 PR、合并 PR 与智能体已加载新指令是不同证据。
已经 GA，为什么还会提示需要 beta 开关？
APM 支持讨论在 11 月 6 日说明，GA 后不再需要 enable-beta-ecosystems: true。但 11 月 10 日，公开问题 #16879 仍报告 github.com 上要求这个开关，并报告加上后未产生预期更新；这是特定用户反馈，不能据此认定所有仓库都受影响。
移除 APM beta 检查的 PR #16885 已于 11 月 10 日 20:44:02 UTC 合并，问题讨论在 11 月 11 日将它指为预期修复。代码合并和问题关闭不证明修复已经部署到你的执行环境，也不证明所有不更新问题都已解决。
如果仍看到同类错误，先保留脱敏的运行时间、生态、清单目录和具体错误，再与当前文档及问题进展核对。不要把旧 beta 开关当作永久前置条件；运行已通过却没有更新时，继续检查前文的依赖和锁文件规则。
资料来源
常见问题
旧讨论说 APM 没有锁文件，现在还能照搬吗？
不能。#14350 的最初请求来自 2026 年 3 月，反映当时用户的疑问；当前正式文档已明确 apm.lock.yaml 的重新生成及分支依赖规则。判断今天的行为，应以当前文档和实际仓库文件为准。
APM 版本更新与闲置仓库告警暂停有关吗？
这是不同机制。本文讲版本更新 PR；11 月 10 日另一公告讲未来暂停部分闲置仓库的 Dependabot 漏洞告警。不能由告警状态推断 APM 更新是否启用，也不能由 APM PR 推断安全告警已恢复。
更换代理或出口能让不支持的 APM 条目更新吗？
不能改变生态支持范围、GitHub 计划、GHES 版本或私有仓库权限。只有出现实际连接错误时才单独排查网络；不要把网络可达当作配置和授权已正确的证明。