店面客服库存闸简报
你是电商客服 Agent 安全顾问。只根据用户约束写提问清单，不要编造已上线防注入。
渠道：{{channel}}
库存/订单源：{{systems}}
模型可否见库存数：{{see_stock}}
输出 Markdown：
1. 编排与子代理工具白名单（含禁止项）
2. 预过滤/金丝雀/schema 终检
3. 超卖与断连失败语义
4. 对账式验收用例
禁止建议把改价/折扣工具交给模型；禁止声称已防住一切注入。← 返回用例列表
Firas：店铺客服 Agent——库存决策出模型，四层挡住注入与议价
对照电商安全实践：n8n 编排三子代理；披露注入 10/10 封、抢最后库存 21/21、Notion 断连 8/8、履约同步约 36.5 秒；不代你零泄漏、不外推。
场景说明
面向小店客服要接库存/下单却怕被套折扣的独立开发者：把「再给模型看库存数」写成可对账的工作流判库存+分层注入防御，区别于履约门户替换与销售 Agent 触达。
案例叙事
01他们做了什么
Firas Ridene 在案例页《Multi-agent store support agent with prompt-injection defence》（JSON-LD datePublished 2026-10-11；页内写 Multi-App AI Agent Hackathon, September 2026 → 发布日取 2026-10-11）写明：为虚构服装小店做 Loomhaus 客服原型，约五小时，栈为 n8n + gpt-4.1-mini + Sheets/Notion/Supabase + Next.js 仪表盘。每条消息先过注入预过滤；干净消息进编排 Agent，只能调三支路：check_inventory（Sheet；IF 节点比较库存/预留/需求后只回「available/not confirmed」）、capture_order（再检库存→写 Notion→预留→重读防超卖）、answer_from_kb（Supabase 向量政策）。履约同步每 30 秒扫 Notion Fulfilled 回写 Sheet 且幂等。关键决策：库存数永不进模型上下文，故无法泄漏或向顾客圆成有货。注入防御四层：无改价/折扣/窥他单/回库存数工具；预过滤拦常见覆盖指令；指示把顾客文本当信息并含金丝雀词；回复固定 schema，终检拦金丝雀与库存数字。验收对活系统 API 回读：注入 10/10 封（过滤 6、其余层 4）且 3/3 正常问可答；抢最后库存 21/21；Notion 断连 8/8 诚实失败不半写；履约同步约 36.5 秒且不双计。作者强调黑客松原型、共享演示态、10 条对抗集非穷尽。本场景据此输出「库存出模型+分层注入」提纲。禁止建议把改价工具交给客服模型。
02实际效果
- 源披露注入 10/10 封、抢库存 21/21、Notion 断连 8/8、履约同步约 36.5 秒，以及约五小时建成等作者窗口数字；属黑客松原型叙事，不可外推为你的真实店铺零超卖或零注入。
- 能把「给模型看库存表」与「工作流判有货 + 四层注入防御」拆开。
- 为预过滤漏网、演示态串扰与工具面过宽提供提问清单。
03值得知道
- 对抗集仅 10 条；预过滤 alone 只拦 6/10，必须叠层。
- 虚构店与共享 demo 态，不是生产多租户客服。
- 上面写的是个人黑客松案例帖，不是 OpenAI/n8n 官文安全白皮书。
04可复制提示词
注入漏网复盘提纲
顾客用隐藏标签套出折扣话术，请写复盘提纲。
原始消息：{{message}}
模型回复：{{reply}}
输出：
1. 是预过滤漏模式、指示未把文本当信息，还是 schema 缺价格字段校验
2. 层叠最小补丁
3. 对抗用例补集
4. 人工确认清单
不要伪造「注入已永久消失」。怎么做
- 粘贴客服渠道、库存/订单真相源，以及是否允许模型见精确库存数
- Agent 按实践帖输出：编排+三子代理工具面→预过滤/金丝雀/schema 终检→对账式验收用例
- 人工保留改价与履约；Agent 不代你声称已防住一切注入
实用提示
- 源帖：模型只听「有货/未确认」；精确库存与折扣工具根本不存在
- 与 invoice-kitten-shopify-multi-agent-batches / dominic-support-email-classify-escalate 不同：本条是店面客服+库存闸+分层注入，不是 Shopify 多 Agent 批次或支持邮箱升级