feat(ack): make OMP yolo config-driven via approvalMode

skills/ack/SKILL.md

@@ -250,9 +250,11 @@ description: >-
   当前一律 fail closed。Grok worker 由 launcher 固定带 `--always-approve`，
   仍必须带 sandbox。
 - OMP worker 使用结构化 `--model`、`--thinking` 和 `--approval-mode` 参数。
-  `--approval-mode yolo` 是 OMP worker 的审批模式，不是 CLI 绕过标志：只有
-  profile 明确为 `cli: omp` 且用户显式授权时才由 launcher 构造；仍禁止
-  `--auto-approve`，也不适用于 codex/cursor-agent/grok。
+  `--approval-mode yolo` 是 OMP worker 的审批模式，不是 CLI 绕过标志：规则层
+  直接允许，是否启用由 `tasks.yaml` profile 的 `approvalMode` 配置决定
+  （`yolo` / `write` / `always-ask`，仅 `cli: omp` 可用；缺省
+  workspace-write → yolo、read-only → always-ask）；仍禁止 `--auto-approve`，
+  也不适用于 codex/cursor-agent/grok。
 - 不把无密钥 `receiptHash` 或 Orca live metadata 当作旧终端的启动 attestation；
   没有可信空闲状态、配置匹配和历史消息清理证明时不复用既有 worker。
 - launcher 返回 `indeterminate` 或 `reconcile required` 时，不直接重试；先按