diff --git a/.agents/skills/unidesk-cicd/SKILL.md b/.agents/skills/unidesk-cicd/SKILL.md
index c2ca6950..504acb8e 100644
--- a/.agents/skills/unidesk-cicd/SKILL.md
+++ b/.agents/skills/unidesk-cicd/SKILL.md
@@ -130,6 +130,10 @@ bun scripts/cli.ts hwlab nodes control-plane legacy-cicd --help
   - `apply` 必须在任何 release、RBAC、Secret、Repository CR、Argo 或 webhook 写入前确认 YAML 匹配的 Gitea 仓库已存在；
   - source PR 合并后不得再次调用 bootstrap 或 apply；正常验收不串联 mirror/status/history，只有失败归因才逐层下钻。
 - 自动链路不通时必须修复自动链自身，并通过修复 PR 合并产生的新正常事件验收：
+  - 已发生错误或首次部署尚未跑通时，允许使用 YAML 已声明的受控单步入口调试具体阶段；
+  - 单步调试必须限定目标、输入和阶段，保留结构化结果，并且不得改写 source/ref authority、伪造成功状态或替代完整交付；
+  - 单步确认的修复必须回写 owning YAML、renderer 或源码，再由正常 source PR 合并事件跑通自动 CI/CD 链；
+  - 只有自动链从 source event、artifact、GitOps/Argo 到 runtime 原入口全部收敛，才能把首次部署或故障修复判为完成；
   - 禁止人工 mirror sync、直接 Gitea push、人工 PipelineRun、`trigger-current`
     或其他手段补齐当前交付；
   - 调试或临时恢复确需改变运行面时，允许按 `$unidesk-daddev` P2 实施最小、可逆 patch，