一句话看懂：GitHub 宣布从 2026 年 12 月 8 日起，对过去一年无活动的仓库暂停 Dependabot 安全提醒，现有提醒会被归档而非删除，用户可随时恢复。这一调整意在控制漏洞提醒规模增长带来的性能压力，但对依赖自动提醒管理旧项目的开发者会有直接影响。
事件核心：发生了什么
根据 GitHub Changelog 2026 年 11 月 10 日的公告，从 2026 年 12 月 8 日起，GitHub 将对大部分“过去一年无活动”的仓库关闭 Dependabot alerts，已有提醒状态转为归档，不会被删除。所谓活动，包括向任意分支或标签推送代码、创建仓库，以及开启 Dependabot alerts 本身。任意一次推送都会自动重新开启提醒并恢复归档告警，一年计时重新开始；用户也可以在仓库设置中手动开启。该政策适用于 github.com 所有套餐以及带数据驻留的 GitHub Enterprise Cloud，不适用于 GitHub Enterprise Server。
为什么重要
Dependabot 是 GitHub 生态中覆盖最广的自动化依赖安全工具之一，其提醒量随着开源依赖漏洞披露频率上升而快速膨胀。GitHub 明确表示，此举是为了让 Dependabot 对活跃开发仓库保持快速可靠。这反映出代码托管平台正在从“全量提醒”转向“按活跃度分级治理”的运营思路，也意味着安全告警的默认行为开始与仓库生命周期挂钩。对依赖开源生态的企业和开发者来说，归档而非删除的设计降低了信息永久丢失的风险，但“沉默仓库”的安全可见性确实会下降。
对用户/开发者/创作者的影响
对于维护多个历史仓库、归档项目或长期未更新依赖的开发者，最直接的变化是：一年不推送代码，就收不到 Dependabot 漏洞提醒，需要主动进入仓库设置重新开启。使用 GitHub Actions 或定时任务但从不推送代码的仓库，也可能被判定为无活动。另一方面，启用了强制安全配置（enforced security configuration）的仓库，以及企业策略不允许管理员开关 Dependabot alerts 的组织，不受此政策影响，这类企业用户的告警行为保持不变。对于依赖 Dependabot 做合规扫描的团队，建议梳理长期未动的仓库，确认是否需要手动保活或调整安全配置。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是 12 月 8 日生效后，社区对“无活动”判定的实际反馈，尤其是 CI 定时任务和 Bot 推送是否计入活动；二是 GitHub 是否会为归档告警提供批量查看或导出能力，方便企业做安全审计；三是其他代码托管平台和 SCA 工具是否会跟进类似的活跃度分级策略。目前公开信息显示，该政策尚未扩展到 GitHub Enterprise Server，自托管用户暂不受影响。
