[aside] SPA の kernel decrypt-at-build（PR #381）は embedding kernel を扱わない ── 暗号化 group の sealed embedding は復号されず related-posts が空になりうる

PR #381 の `KERNEL_APPLY_SQL` は main stream の content kinds（post/tag/curation/ref/anchor/feedback）だけを materialize し、embedding は対象外にした。理由は post_embedded が server 側で manifest 分割され lazy `embeddings.*.jsonl`（`loadEmbeddings`）経由で来るから。だが `rewrite_enc` は Content namespace 全体（embedding 含む）を seal するので、swapped group の embedding が enc kernel 化されると `loadEmbeddings` 側に kernel 判別/復号が無く、その group の related-posts panel が空になる。今回は post/tag/curation 優先で scope 外に除外。インパクト = 暗号化 group 限定の related-posts 欠落（機能の静かな穴）。着手トリガー = 暗号化 group で embedding を本番投入する / all-kernel に倒す時。