feat(ack): add grok workers and allow --always-approve

Grok is a first-class worker CLI. Launcher argv includes --always-approve so
unattended tool calls are not blocked; sandbox stays required.

skills/ack/references/init-new-project.md

@@ -116,10 +116,11 @@ candidate 留在任务证据中，不会被派发。只有 Test 独立验证且
 
 ## 初始化项目交付
 
-新项目的 `docs/ack/delivery.yaml` 保持 `enabled: false`、空能力表和空 profile。
-不要根据 README 或 CI 自动推断并启用发布/部署。用户用自然语言描述交付要求后，
-Coordinator 按 `delivery.md` 维护声明式配置：工具 target 与仓库脚本分开引用，产物、
-目的地、环境和有序 profile 使用稳定 ID。配置中不保存 shell、环境变量值或凭据
+新项目的 `docs/ack/delivery.yaml` 保持 `enabled: false`、空能力表、空 profile，以及
+`intents.testEnvironment: null` 与 `intents.release: null`。
+不要根据 README 或 CI 自动推断并启用发布/部署。用户用自然语言说明测试环境或发版
+方式后，Coordinator 按 `delivery.md` 把两者都写入这一份契约：`intents` 指向对应
+profile，工具 target 与仓库脚本分开引用。配置中不保存 shell、环境变量值或凭据
 正文；稳定发布和生产部署必须有显式 approval 步骤。
 
 ## 校验