feat(runme): integrar Runme como sidecar de documentación ejecutable

Agrega RUNBOOK.md y runbooks/ (fuera de content/, para no interferir con
la publicación de Zola), con reglas de nombres/etiquetas/aislamiento de
celdas mutantes verificadas por clusterlog validate. Instalación pinneada
a v3.17.4 con checksum verificado (scripts/runme-install.sh), un job de
CI separado (.gitea/workflows/ci.yml) que sólo corre celdas ci-safe, y la
decisión documentada en docs/adr/0004-runme-sidecar.md y docs/RUNME.md.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

AGENTS.md

@@ -72,6 +72,23 @@ No convierta salidas extensas de terminal en el cuerpo. Resuma y enlace evidenci
 - `git_commit_failed`: no afirme que la operación quedó auditada; los archivos pueden existir sin commit y deben revisarse.
 - `task_has_running_timers`: identifique a los actores; no cierre o borre eventos.
 
+## Runbooks ejecutables (Runme)
+
+`RUNBOOK.md` y `runbooks/**/*.md` son documentación ejecutable, no una
+segunda CLI. Reglas para un agente:
+
+- Nunca active una celda `risk-mutating` o `risk-destructive` sin que el
+  usuario haya autorizado explícitamente esa operación puntual — la
+  etiqueta `manual-only`/`interactive`/`excludeFromRunAll` es una defensa
+  técnica de Runme, no una autorización.
+- Trate cada celda como el comando que envuelve: si el comando requiere
+  `--dry-run` antes de `--commit`, la celda también.
+- No agregue lógica nueva dentro de una celda; si hace falta lógica
+  reutilizable, colóquela en `clusterlog`, un script en `scripts/` o un
+  target de `Makefile`, y haga que la celda sólo lo invoque.
+- No genere ni edite manualmente un identificador Lifecycle Identity de
+  Runme.
+
 ## Cambios al código del proyecto
 
 Antes de entregar: