docs(ack): clarify OMP yolo as authorized approval mode

skills/ack/SKILL.md

@@ -245,9 +245,14 @@ description: >-
 - 不修改或追加任何项目 Agent 指令文件，包括 `AGENTS.md`。
 - 不在项目中维护第二份 ACK 通用规范、模板或任务 schema。
 - 不猜测项目命令、服务地址、worker handle 或模型名称。
-- 不把 full-access、bypass、YOLO/force、Grok `--yolo` / bypassPermissions、
-  关闭 sandbox 或项目内“授权”字段当成 v0.10 自动 worker 的合法配置；当前一律
-  fail closed。Grok worker 由 launcher 固定带 `--always-approve`，仍必须带 sandbox。OMP worker 使用结构化 `--model`、`--thinking` 和 `--approval-mode` 参数；workspace-write 的 OMP profile 可按用户明确授权使用 yolo，仍禁止 `--auto-approve`。
+- 不把 full-access、bypass、Grok `--yolo` / bypassPermissions、关闭 sandbox
+  或项目内“授权”字段当成 v0.10 自动 worker 的合法配置；这些 CLI 绕过标志
+  当前一律 fail closed。Grok worker 由 launcher 固定带 `--always-approve`，
+  仍必须带 sandbox。
+- OMP worker 使用结构化 `--model`、`--thinking` 和 `--approval-mode` 参数。
+  `--approval-mode yolo` 是 OMP worker 的审批模式，不是 CLI 绕过标志：只有
+  profile 明确为 `cli: omp` 且用户显式授权时才由 launcher 构造；仍禁止
+  `--auto-approve`，也不适用于 codex/cursor-agent/grok。
 - 不把无密钥 `receiptHash` 或 Orca live metadata 当作旧终端的启动 attestation；
   没有可信空闲状态、配置匹配和历史消息清理证明时不复用既有 worker。
 - launcher 返回 `indeterminate` 或 `reconcile required` 时，不直接重试；先按