openlayer-ai/jevals は 2026-11-02（UTC）のコミット 70d5e9b で CI 構成を手入れした。GitHub Actions をタグ（v4、v5）で参照していた箇所をすべて完全なコミット SHA で固定し、workflow トークンの権限は `contents: read` に下げた。.github/dependabot.yml が新規追加され、ci.yml と publish.yml は変更された。変更規模は 34 行で、27 行の追加と 7 行の削除にとどまる。
jevals はエージェント評価（eval）とガードレールを 1 リクエスト 1 判断で提供するプロジェクトで、リポジトリの説明ではローカル実行にも対応していると明記している。手を入れたのはアプリケーションコードではなく CI 側である。タグは移動できる参照，因此在その時点には別の値を指すこともだが、コミット SHA はコミット 1 つを正確に固定する。固定の対象は actions/checkout(v4.4.0)、astral-sh/setup-uv(v5.4.2)、actions/upload-artifact(v4.6.2)、actions/download-artifact(v4.3.0)、pypa/gh-action-pypi-publish(v1.14.3) だ。ci.yml は Python 3.10・3.12・3.13 のマトリクスで uv 同期と pytest を実行し、publish.yml は v* タグでビルドした成果物を PYPI_API_TOKEN で PyPI にアップロードする。保守は Dependabot が担当する。週 1 回、すべての Actions 更新を 1 つの PR にまとめ、`chore(ci)` 接頭辞のコミットで SHA とバージョンコメントを併せて更新する。
ただし、この変更が触れた範囲は CI 参照の固定とトークン権限の縮小までである。コミットメッセージには権限ブロックのなかったワークフローにデフォルト値を追加した、と記載されているため、すでに権限ブロックがある他のワークフローはそのまま残る。このコミットにはランタイム性能や評価結果を測る数値はない。バージョンコメントに書かれた値もその時点の固定値であり、更新は週次の Dependabot PR の中で進むため、実際に固定されるバージョンはこのコミットとは異なる時点で動く。ライセンスやスター数、スコア結果など比較材料が示されていないので、判断は早い。