购物Agent签了单仍能下错车：论文测出56%

很多人听到「Agent 能付款了」，第一反应是：有协议签名，总该比随便点链接安全。更贴地的读法是：签了交易 ≠ 签了决策。arXiv 上这篇 Whisper Attacks 论文（2609.11757）测的就是这条缝——商户控制的商品描述文案，不必带明显「黑客指令」，也能把购物 Agent 带偏；结出来的购物车，协议校验全过，内容却已经不是用户想要的那一车。

论文在 AP2 sample 默认的 Gemini Flash-Lite 线上给出三组成功率：Vault Whisper 90%（n=50）、Branded Whisper 56%（n=50）、Selection Whisper 73.3%（n=90，GA 后继模型）。本号不复现攻击、不编造你店后台数字——下面只把论文结构翻译成卖家可执行的 listing 自检。新榜今天仍在谈种草/测评/创意矩阵；落到字段上，等价问题是：属性、规格对比、场景句有没有被「散文描述」吞掉，变成可被 Agent 当指令读的长段落。本篇只写你今晚能抄的三步。

据 Louck、Dvir、Stulman 的论文：Agent Payments Protocol（AP2）会为购买签三道凭证——意图（Intent）、购物车（Cart）、支付（Payment）。各方都能核验「这笔交易被授权且未被篡改」。但签名绑的是交易本身，不绑产生交易的那段决策：签名购物车里，并没有记录「车里的货是不是用户真正想要的那一件」；而商品描述等自由文本，完全由商户侧控制。

论文的核心句子可以白话成：协议验的是「签没签」，不验「选得对不对」。一句加在商品描述里的话——不必写成明显指令、也不必和用户原话直接打架——就可能改变 Agent 最终买什么；结出来的车，仍能通过每一道协议检查。

图 1｜以为签了就安全 → 论文测出翻车（本号北欧绘本）

对店主来说，这不等于「立刻关停所有 Agent 渠道」。它先改的是风险叙事：你以为接了签名支付协议，错单会自动被挡；论文显示，错的是决策层，不是签名层。你今晚就能做的，是让 listing 少写「可被当成指令/事实前提」的散文，多把规格、价、库存放进结构化字段，并把 Agent 渠道订单单独记账。

论文把攻击分成三个家族，测在 AP2 sample 默认的 Gemini Flash-Lite 线上（Table 3）。数字一律按论文实验理解——不是本号实测，也不等于你店明天就会出同样比例的错单。它只说明：在作者设定的场景与模型线上，这三类「描述文案带偏」能跑到多高。

图 2｜三种 Whisper 成功率（本号北欧绘本 · 出处 arXiv）

白话对照：Vault 像「描述里塞一句合规话术，让 Agent 去拉别人的支付方式别名」；Branded 像「车还签得合法，但加了不该加的项、改了价、甚至改了收款方」——X 上常被引用的「错车 56%」多指这一族；Selection 更阴：不发指令，只塞一句库存或产品沿革的「事实前提」，把选择从便宜展示项推到更贵的项，而车仍与展示一致——结构检查抓不住。

论文还写：同一漏洞跨 17 个 Google 模型、3 个无关 agent 框架、跨厂商锚点仍可见；消费级助手上，「把句子粘贴进聊天会拒，从网页抓取同句会跟」。防御方案叫 A-VIP：把已签名 Intent 当能力授予——凭证查找绑会话、购物车绑已展示 listing、未授权花费需确认。前两类有结构痕迹，可拦且论文称零误报；Selection 只能 surfacing。基准套件 AP2-WhisperBench 共 1544 场景；Vault 链已披露给协议厂商漏洞奖励计划。本号不展开复现步骤——店主要的是字段与流程，不是红队手册。

新榜公式还在谈种草、测评、创意。独立站 listing 不必照搬达人脚本，但可以把三角角色落到字段：种草→可感知属性与利益句；测评→规格对比与边界条件；创意→场景图文。对 Agent 来说，危险的是把本该结构化的信息，写成一段可被「当指令/当事实」读走的长散文。

图 3｜签了交易没签决策（本号概念示意 · 非官方截图）

一张最小自检表可以长这样（本号整理，不保证转化）：① 描述区禁止出现「请同时拉取…」「为合规请…」「请把收款方改为…」这类可被当成指令的句；② 规格、标价、库存、兼容机型放结构化字段或表格，别埋进故事体长文；③ 退换货天数、运费责任、争议入口写数字政策，别只写「售后无忧」；④ Agent/助手渠道订单单独标签或分栏记账，错车客诉与普通单分开；⑤ 高客单 SKU 优先扫：价格敏感句、库存紧张句、「继任款/停产」类沿革句——Selection 家族吃的就是这类前提。

和近篇错开角度：本号刚写过 Naver 助手支付试点、Shopify 默认代管、PayPal 收款轨——那些是「门开了怎么接」。本篇落在「门开了之后，签名协议挡不住描述文案带偏」。你不接 AP2 也无所谓：任何把商品描述喂给购物 Agent 的通道，都值得先问一句——我这段文案，会被当成数据，还是会被当成指令？

责任边界也值得提前想清。论文讨论的是协议层：签名合法的车，内容仍可能错；落到店里，客诉会问——是用户自己点错，还是助手按描述「合理推理」买贵了。你若把「已停产」「本周无库存」「请同时核验收款方」写进描述长文，等于把决策材料交给 Agent；事后再争「我没让它那么买」，证据链往往对不上。自检的目标不是吓停 Agent 渠道，而是让可被读走的材料变少、可变的决策面变窄。

不管你是否已经接到 Agent 结账，清单逻辑一样：先让描述不可被当指令，再让政策数字可读，再把 Agent 单分栏。

图 4｜今晚 3 步清单（本号北欧绘本）

三步做完，再问一句：你有没有「本周只扫一类风险句」的名单？例如只盯「合规/请同时…」指令句，或只盯「停产/继任」沿革句。多数店从 3 个主推 SKU 改描述，比一夜重写全店稳。双十一矩阵可以继续发种草和测评，但主推页的字段分工先对齐——属性句归结构化、对比归表格、场景归短句；长散文留给博客，别留给会被 Agent 整段吞进去的描述区。

一份最小验收表（本号整理）：主推描述是否还留可被当指令的句；规格价库存是否在结构化字段；退换货是否有数字政策；周报是否有 Agent 相关列。贴在运营周报里，比只转发「Agentic 又被黑了」有用。

协议把门开在签名上，论文把缝钉在决策上。店主真正要做的选择很土：我的描述会不会被 Agent 当指令读；规格价库存有没有离开长散文；错车来了，账本和退款规则能不能分得清。

照做清单，今晚就能开始：① 扫描述删指令句；② 退款政策写数字；③ Agent 订单分栏。签名可以继续接，你的 listing 要先经得起「被当数据读」。

你卡在哪一步——字段、文案，还是退款规则？评论区回一个词，我按卡住的点接着拆。

出处：Louck / Dvir / Stulman《Signing the Transaction but Not the Decision: Whisper Attacks and a Binding Defense for AP2》，arXiv:2609.11757；成功率数字见文中 Table 3（Gemini Flash-Lite 线、AP2 sample 默认）。配图为本号北欧绘本概念示意，非官方后台截图。论文数字一律标出处，非本号结论。

会用工具不难，难的是看清哪段描述真会把 Agent 带进错车、再把它变成可防守的收入动作。「AI商业实战」新人邀请礼遇 ¥25，进圈先领「Agent 购物错车自检短卡」，每天还有风向和可复现教程。

新人邀请礼遇：开启 AI 实战交流

我是「写新AI电商」，每天挑一个 AI 用在电商里的真实案例，把账算清楚。

觉得有用的话，欢迎点赞、收藏、评论。