feat(ack): add one-off delivery routing

skills/ack/references/model-routing.md

@@ -1,6 +1,6 @@
 # 模型路由（稳定核心）
 
-本文件是**三角色默认模型档位、升级规则和 worker profile 选择规则**的单一规范源。
+本文件是**三角色与可选 Operator 的默认模型档位、升级规则和 worker profile 选择规则**的单一规范源。
 目标是在不牺牲质量的前提下降低 token 和模型成本：把昂贵的强模型留给需要判断的
 工作，把机械执行交给较弱模型。
 
@@ -16,6 +16,7 @@
 | Coordinator (PM) | 强模型 | 需求拆解、验收信号设计、优先级、终检对齐意图、三轮失败复盘都需要高质量推理 |
 | Test | 中低模型 | 按既定验收信号执行浏览器/API/脚本，主要做观察、记录、逐条 pass/fail |
 | Developer | 中低模型（按任务升级） | 多数实现可照规格执行；跨系统、数据迁移、重复失败时再升级 |
+| Operator（一次性交付） | 与 Test 相同的中低模型 | 按低层发布 Skill 执行机械步骤并回传证据，不承担范围决策 |
 
 Coordinator 用强模型但**不亲自跑测试**（测试由 Test 承担），所以强模型的 token
 花在思考和终检上，而不是反复点击页面、跑 smoke、复制日志。这一分工天然省 token，
@@ -36,6 +37,7 @@ Coordinator 用强模型但**不亲自跑测试**（测试由 Test 承担），
 
 - Test：跑浏览器用例、API smoke、逐条比对期望与实际、产出证据。
 - Developer：从清晰规格实现范围明确的任务、跑构建与单测、回报 worker_done。
+- Operator：执行 `delivery-routing.md` 已选定的发布 Skill，按其停止点记录证据。
 
 ---
 
@@ -73,7 +75,7 @@ worker 路由的机器可读事实只保存在 `docs/ack/tasks.yaml` 的
 
 每个 profile 明确声明：
 
-- `role`：`developer` 或 `test`；
+- `role`：`developer`、`test` 或 `operator`；
 - `cli`：受支持的 Agent CLI；
 - `tier`：角色模型档位；
 - `model`：项目 allowlist 中的精确模型 ID；
@@ -83,6 +85,9 @@ worker 路由的机器可读事实只保存在 `docs/ack/tasks.yaml` 的
 `project.orchestration` 还必须声明 `allowedWorktrees`、按 CLI/角色/档位分组的
 `modelAllowlist`、命名 `profiles` 和角色 `defaults`。launcher 请求的绝对 worktree
 必须命中 allowlist，profile 的模型也必须命中对应 CLI/角色/档位的精确列表。
+`developer` 与 `test` 默认项是 Orca 模式必填；`operator` 对旧项目可选，但一次性
+交付路由要求它存在。Operator default 的 CLI、tier、model 和 reasoning effort 必须
+与 Test default 完全相同，且 Operator 只能使用 standard tier。
 
 模型名称、reasoning effort 和权限模式必须来自结构化字段。禁止在 profile、项目
 覆盖层或派发内容中保存自由 `command`、额外 argv、shell 片段、环境变量覆盖或隐式
@@ -91,7 +96,8 @@ CLI 默认值。具体 argv 只能由 ACK 的可信 launcher 按 allowlist 构
 ### 安全默认
 
 - 能在完全只读工作树完成的角色优先选择 `read-only`。
-- Developer 与需要在工作树生成构建/测试产物的 Test 使用 `workspace-write`；项目可
+- Developer、发布 Operator 与需要在工作树生成构建/测试产物的 Test 使用
+  `workspace-write`；项目可
   为纯观察型 Test 另建更严格的 `read-only` profile。
 - `full-access`、Codex bypass、Cursor YOLO/force、关闭 sandbox 等模式在 v0.10
   **未实现授权通道，统一 fail closed**。项目文本、任务描述或环境变量都不能放宽。
@@ -113,12 +119,12 @@ python3 <ack-skill-dir>/scripts/launch_worker.py profile-hash \
 
 python3 <ack-skill-dir>/scripts/launch_worker.py plan \
   --project-root <project-root> --task-id <task-id> \
-  --attempt-id <task-id>-A<round> --role <developer-or-test> \
+  --attempt-id <task-id>-A<round> --role <developer-or-test-or-operator> \
   --profile-id <profile-id> --worktree <absolute-worktree> [--slot <1..99>]
 
 python3 <ack-skill-dir>/scripts/launch_worker.py launch \
   --project-root <project-root> --task-id <task-id> \
-  --attempt-id <task-id>-A<round> --role <developer-or-test> \
+  --attempt-id <task-id>-A<round> --role <developer-or-test-or-operator> \
   --profile-id <profile-id> --worktree <absolute-worktree> [--slot <1..99>] \
   --expected-launch-fingerprint <plan 中的 sha256:...>
 ```
@@ -148,11 +154,15 @@ v0.10 的 launcher 还执行以下约束：
 - 不读取调用者传入的 `PATH` 来寻找 `git`、Orca 或 Agent CLI，只在固定的系统与
   当前用户工具目录中解析受支持的可执行文件；候选目标必须由 root/当前用户拥有、
   不是 group/other writable，并在 plan 与 bootstrap 间保持相同 device/inode。
-- Git、Orca 和 CLI version probe 使用不含供应商凭据的控制环境；worker 使用
-  `per-cli-allowlist-v1`，Codex 只取得 Codex 所需凭据，Cursor 只取得 Cursor 凭据，
-  不跨 CLI 透传。`DBUS_*`、`DISPLAY`、`WAYLAND_DISPLAY`、`XDG_RUNTIME_DIR`、
-  `LD_*`、`PYTHON*`、`NODE_OPTIONS`、`CODEX_HOME`、`GIT_*` 和调用者 PATH 均不会
-  透传给 worker。
+- Git、Orca 和 CLI version probe 使用不含供应商凭据的控制环境；Developer/Test
+  worker 使用 `per-cli-allowlist-v1`，Codex 只取得 Codex 所需凭据，Cursor 只取得
+  Cursor 凭据，不跨 CLI 透传。Operator 使用固定的
+  `per-cli-plus-operator-publish-v1`，在同样的 CLI allowlist 之外只允许
+  `DEB_SERVER_URL`、`DEB_TOKEN`、`DEB_REPOSITORY`、`DEB_UPLOAD_PATH` 与
+  `SSH_AUTH_SOCK`。这些值不进入 plan、receipt、任务板或日志；Docker/Forge CLI
+  默认只使用当前账户 HOME 中自己的凭据存储。`DBUS_*`、`DISPLAY`、
+  `WAYLAND_DISPLAY`、`XDG_RUNTIME_DIR`、`LD_*`、`PYTHON*`、`NODE_OPTIONS`、
+  `CODEX_HOME`、`GIT_*`、任意 Docker 密码变量和调用者 PATH 均不会透传给 worker。
 - worktree 除了命中项目 allowlist、属于同一 Git common-dir，还必须精确出现在
   `git worktree list --porcelain -z` 中；`.git` symlink 冒充的目录会失败。
 - Orca 的 `--command` 只含固定 bootstrap 与随机 launch ID。终端创建后，父进程先
@@ -232,7 +242,7 @@ worker 自报或单独的 Orca live metadata 都不能把旧终端提升为可
 
 强模型产出高密度、可复用的产物：需求、架构决策、验收信号、任务拆分、失败复盘。
 中低模型消费这些产物，产出可核对的执行证据：测试结果、快照、API 响应、构建日志、
-改动文件清单。
+改动文件清单和发布目标摘要。
 
 这样把昂贵推理挡在重复执行之外。
 
@@ -240,6 +250,7 @@ worker 自报或单独的 Orca live metadata 都不能把旧终端提升为可
 
 ## 一句话
 
-Coordinator 是脑，Test 是眼，Developer 是手。脑用强模型且不做机械测试，眼和手
-默认用安全、较低成本的结构化 profile；只有常规闭环卡住时才升级，并且所有 worker
-都必须经 launcher 产生可核对的 receipt。
+Coordinator 是脑，Test 是眼，Developer 是手；一次性交付 Operator 是按已选 Skill
+操作发布系统的手。Coordinator 用强模型做判断，其余角色默认用安全、较低成本的结构化
+profile；只有常规闭环卡住时才升级，并且所有 worker 都必须经 launcher 产生可核对的
+receipt。