Dependabot можно посадить на свой runner — настройки в репозитории

На github.com администратор приватного или internal-репозитория может задать, на каком runner крутятся Dependabot: обновления версий зависимостей и security updates. Доступны тип runner, своя метка и runner group , это дополнение к настройкам на уровне организации, но уже для конкретного репо. Раннер с меткой (labeled runner) подходит и для self-hosted, и для более крупного GitHub-hosted runner , когда нужен доступ к приватному package registry или к окружению, куда стандартный job не доходит. У публичных репозиториев и на GitHub Enterprise Server эти переключатели скрыты. Где включить Settings → Advanced Security → Dependency scanning. Dependabot version updates → Runner type. Labeled runner: метка и при необходимости runner group; без метки используется label dependabot . Standard GitHub runner , дефолтное GitHub-hosted окружение. Security configurations пока не наследуют runner для Dependabot: корпоративная политика org не подменяет то, что выставлено в репозитории , имеет смысл сверить оба уровня. Источник: Repository custom runner settings for Dependabot .