diff --git a/.github/dependabot.yml b/.github/dependabot.yml
new file mode 100644
index 0000000..bd93da3
--- /dev/null
+++ b/.github/dependabot.yml
@@ -0,0 +1,26 @@
+# 依存パッケージの定期更新 PR（Dependabot version updates）
+# 脆弱性検出（Dependabot alerts / security updates）はリポジトリ設定で有効化済み（本ファイルとは独立に動く）
+version: 2
+updates:
+  - package-ecosystem: "uv"
+    directory: "/"
+    schedule:
+      interval: "weekly"
+    open-pull-requests-limit: 5
+    commit-message:
+      prefix: "[update]"
+    groups:
+      minor-and-patch:
+        update-types:
+          - "minor"
+          - "patch"
+  - package-ecosystem: "github-actions"
+    directory: "/"
+    schedule:
+      interval: "weekly"
+    commit-message:
+      prefix: "[update]"
+    groups:
+      actions:
+        patterns:
+          - "*"
diff --git "a/docs/02_ENV/ENV_03_\347\256\241\347\220\206\350\200\205\347\224\250\347\222\260\345\242\203\346\247\213\347\257\211\346\211\213\351\240\206.md" "b/docs/02_ENV/ENV_03_\347\256\241\347\220\206\350\200\205\347\224\250\347\222\260\345\242\203\346\247\213\347\257\211\346\211\213\351\240\206.md"
index 8e45cc4..1639db2 100644
--- "a/docs/02_ENV/ENV_03_\347\256\241\347\220\206\350\200\205\347\224\250\347\222\260\345\242\203\346\247\213\347\257\211\346\211\213\351\240\206.md"
+++ "b/docs/02_ENV/ENV_03_\347\256\241\347\220\206\350\200\205\347\224\250\347\222\260\345\242\203\346\247\213\347\257\211\346\211\213\351\240\206.md"
@@ -67,6 +67,27 @@
 
 未設定でも開発に支障はない．
 
+### 4.3 Dependabot（完了済み）
+
+依存パッケージの脆弱性検出と定期更新 PR．リポジトリ設定は既定で OFF のため，`gh` CLI で有効化済み（2026-08-29）．
+
+- [x] **Dependabot alerts**（既知脆弱性の検出．依存グラフも同時に有効化される）
+- [x] **Dependabot security updates**（脆弱性を直す PR の自動作成）
+
+```bash
+# 有効化（冪等なので再実行してよい．admin 権限が必要）
+gh api -X PUT repos/rintoHasegawa/SmTIAS-LightSim/vulnerability-alerts
+gh api -X PUT repos/rintoHasegawa/SmTIAS-LightSim/automated-security-fixes
+
+# 検証（前者は 204 で有効・404 で無効，後者は {"enabled":true} で有効）
+gh api repos/rintoHasegawa/SmTIAS-LightSim/vulnerability-alerts
+gh api repos/rintoHasegawa/SmTIAS-LightSim/automated-security-fixes
+```
+
+定期更新 PR の設定は `.github/dependabot.yml`（`uv` と `github-actions` の週次．マイナー／パッチは 1 PR にまとめる）．上記の脆弱性検出とは独立に動く．
+
+作られた PR の処理は `/deps-update` で行う（ゲート: メジャー更新でない・競合なし・CI 緑またはローカル検証緑）．本リポジトリは CI 未導入のため，当面はローカル検証（`uv run pytest`）で判断する．
+
 ## 5. 外部サービス（任意・将来）
 
 現時点では外部サービス連携は不要．以下は将来検討事項として残しておく：