Etapa G (go): bom flags=./cmd/bom (raíz = magefiles con build-tags que excluyen todo) + aws-vault/minikube diferidos (CGO: onepassword-sdk / libvirt)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

recipes/incoming-go/bom.toml

@@ -11,7 +11,7 @@ commit = "1ab6284ac5e118267414f2ac3874bb08a701e9ad"
 compiler = "zig-cc"
 target   = "x86_64-linux-musl"
 link     = "static"
-flags    = []
+flags    = ["./cmd/bom"]
 
 [deps]
 build = ["go"]

tandas/staged-fallidos-go-20260705/README.md

@@ -49,3 +49,8 @@ Los patches de gross/gitlab-runner/woodpecker viajan acá con sus recetas.
 - `dolt` (2026-07-05, post-fix subdir): cgo tira de ICU (unicode/uregex.h vía
   dolthub/go-icu-regex) = CGO contra lib C EXTERNA, no bundled ⇒ frontera; necesita
   receta icu4c en el sandbox.
+- `aws-vault` (2026-07-05): el onepassword-sdk-go vendoreado exige CGO (error
+  deliberado en client_builder_no_cgo.go) ⇒ frontera CGO.
+- `minikube` (2026-07-05): pkg/drivers/kvm importa libvirt.org/go/libvirt (CGO
+  contra libvirt del sistema; nix lo buildea con buildInputs libvirt) ⇒ frontera
+  CGO-lib-externa.