openlayer-ai/jevals 在 2026-11-02（UTC）的提交 70d5e9b 中调整了 CI 配置。所有原先以标签（v4、v5）引用 GitHub Actions 的地方都固定到了完整提交 SHA，workflow 令牌权限也被降为 `contents: read`。新增了 .github/dependabot.yml，ci.yml 和 publish.yml 则是修改。变更规模为 34 行，其中新增 27 行、删除 7 行。
jevals 是一个把智能体评估（eval）和护栏做成单次请求单次判断的项目，仓库说明称其支持本地运行。动手改的不是应用代码，而是 CI 一侧。标签是可移动的引用，因此在某个时点可能指向不同的值，而提交 SHA 则精确锁定一个提交。被固定的目标是 actions/checkout(v4.4.0)、astral-sh/setup-uv(v5.4.2)、actions/upload-artifact(v4.6.2)、actions/download-artifact(v4.3.0)、pypa/gh-action-pypi-publish(v1.14.3)。ci.yml 在 Python 3.10·3.12·3.13 矩阵上执行 uv 同步和 pytest，publish.yml 则把在 v* 标签上构建的产物用 PYPI_API_TOKEN 上传到 PyPI。维护工作交给 Dependabot：它每周一次把所有 Actions 更新合并为一个 PR，并以带 `chore(ci)` 前缀的提交同时更新 SHA 与版本注释。
不过，这次改动触及的范围也仅止于固定 CI 引用和收紧令牌权限。提交信息写的是给原本没有权限块的 workflow 加上默认值，因此已经有权限块的其他 workflow 保持原样。这个提交里没有衡量运行时性能或评估结果的数值。版本注释里写的值同样是那个时点的固定值，更新是在每周的 Dependabot PR 中推进的，所以实际的固定版本会在与本次提交不同的时点发生变化。没有提供许可证、星数、评分结果之类的比较材料，因此下判断为时过早。