feat: upadte

skills/ack/references/delivery.md

@@ -114,12 +114,15 @@ intents:
   PR/MR。普通任务使用项目已确认的 Forge 流程；只有本次是版本发布生命周期且用户
   明确要求时才调用独立的 `releaser`。没有对应能力或认证时标记 blocked，不用
   带 token 的临时 curl 兜底。remote 与 base branch 必须来自该步骤，不能临时猜测。
-- `build`：调用 artifact 的 build entrypoint。DEB 必须记录包名、版本、架构和
-  SHA-256；OCI image 必须记录完整引用、platform 和 digest。产物必须绑定当前 source
-  revision，不能在目标机器重新拉源码构建。
+- `build`：对当前 source revision 调用已安装的 `builder` `obtain.sh --sha <revision>`，
+  不要假定本机 `make`。`BUILD_VENUE=ci` 时监听该 SHA 的流水线；没有流水线或 job 失败
+  则本步 `failed`。DEB 必须记录包名、版本、架构和 SHA-256；OCI image 必须记录完整
+  引用、platform 和 digest。产物必须绑定当前 source revision，不能在目标机器重新拉
+  源码构建。
 - `publish`：验证 artifact/destination 类型兼容，上传精确产物。DEB 与 Docker 均可使用
   已安装的 `builder`；Docker 轨道保持显式触发——只有用户明确点名（builder / 发布镜像）
-  时才加载，否则必须走契约中已审查的 upload entrypoint。项目入口只接受
+  时才加载，否则必须走契约中已审查的 upload entrypoint。`BUILD_VENUE=ci` 且 obtain
+  已带回 registry digest 时，本步只复核，不再本机 push。项目入口只接受
   刚校验的精确 artifact。preview/staging 使用不可覆盖的 commit/PR 标识，不隐式使用
   `latest`。既没有可用 skill 也没有 upload 入口时标记 blocked。
 - `deploy`：把同一不可变 artifact 交给 environment 的 deploy entrypoint；获取目标