S00-028: Document and verify the compatible Codex runner invocation

Changes: Document the coordinator-selected Codex 0.159.0 argv without conflicting sandbox flags; record parser and filesystem evidence plus QA handoff. Preserve existing local configuration and portable example.
Validation: Exact active argv help and approved host wrapper with inner workspace-write probe exited 0; project write/read/remove passed and outside write denied EROFS30. Final make check passed 72 tests after shortening the documentation to meet prompt budgets. No additional model or storage work ran.

Task: S00-028
Agent: auto-ci-cd-e3a716a94424
Role: ci-cd
Action: claim
Status: review

Task title: Repair conflicting Codex harness sandbox arguments

docs/AUTOMATION.md

@@ -18,6 +18,19 @@ Harness обязан запускать новую conversation/session для
 
 Автоматические commits включены по умолчанию. Перед первым реальным запуском foundation должна быть сохранена начальным commit в Git checkout с активной веткой, настроенной identity и чистым index/working tree. Каждый agent transition заканчивается отдельным осмысленным commit перед следующим процессом. Executor и reviewer заранее пишут сообщения; Git выполняет runner. Правила, примеры и восстановление — `docs/GIT_WORKFLOW.md`.
 
+## Codex 0.159.0: argv (S00-028)
+
+Coordinator выбрал из project root:
+
+```sh
+codex -c sandbox_workspace_write.network_access=true exec --approve-for-me --ephemeral -
+```
+
+`--approve-for-me` включает workspace-write/auto-review и конфликтует с `--sandbox`.
+`-` читает fresh prompt из stdin; resume/fork не использовать. Проверки без модели:
+argv + `--help` и sandbox probe ниже, timeout20, exit0; project write passed,
+outside denied EROFS30. Полное evidence: `state/evidence/S00-028-auto-ci-cd-e3a716a94424.md`.
+
 ## Запуск
 
 ```sh