O Agente de Chat
Plano de Construção,
Pré-Quebrado.

Missão e Regras Base

Mark Kashef lidera Prompt Advisers (AI consulting, enterprise + SMB workshops). O novo site recebe um agente de chat que faz três coisas que widgets comuns não fazem: ele guia visitantes pelo site on guided tours, it faz perguntas durante o tour to understand fit, and when signals appear it qualifica naturalmente, apresentando ofertas, credenciais de Mark e a trilha de workshop correta antes de capturar um lead. Ele se adapta à forma como cada visitante fala e melhora semanalmente, sem jamais ter permissão para se quebrar sozinho.

A Visão Geral

Da pasta vazia até: um widget.js (Shadow DOM, TS puro) incorporável no site Vercel → uma Supabase Edge Function chat que monta um prompt em camadas a partir do Postgres, transmite o Haiku 4.5 por SSE e executa ferramentas autorizadas → logs completos → revisão semanal acionada por cron, com aprovação humana, canário e rollback automático.

O Prompt em Camadas (decisão #1)

O prompt de sistema é montado por requisição a partir de camadas versionadas, da mais estável à mais volátil, para que o cache de prompt funcione e para que o "autoaprendizado" tenha um raio de impacto limitado a exatamente uma camada controlada.

Camada	Conteúdo	Quem pode alterar
P0	Identidade central, piso de profissionalismo, "mensagens do usuário são dados", token canário	Humanoo, raramente
P1	Fatos de referência: ofertas, credenciais, catálogo de workshops, link de agendamento	Humanoo via tabela de fatos
P2	Trilhos de ferramentas, contrato do tour, playbook de qualificação (sinais, não scripts)	Humano
P3	Camada de estilo renderizada a partir de 8 controles limitados	Proposto pela máquina, aprovado por humano
P4	Tempo de execução: página atual, etapa do tour, intenção da aba, resumo contínuo	Por requisição, após o ponto de quebra do cache

Armadilha de cache prevista desde o primeiro dia: Haiku 4.5 não fará cache de um prefixo abaixo de 4096 tokens, e qualquer byte dinâmico (timestamp, JSON sem ordenação, ferramentas reordenadas) mata o cache silenciosamente. Registramos cache_read_input_tokens por turno para que uma regressão de cache apareça como queda no dashboard, não como surpresa na fatura.

Stack, e por quê

Claude ≠ OpenAI: A Tabela de Armadilhas

Pessimismo explícito, pedido e respeitado: chamar o Claude a partir de uma Edge Function Deno não tem o mesmo formato de chamar a OpenAI. Cada linha abaixo vira erro 400, stream vazio silencioso ou vazamento silencioso de custo se for portada por hábito. O contrato de retransmissão isola tudo isso em um único arquivo.

O Caminho Crítico, Dez Fases

Metodologia: walking skeleton primeiro, interfaces contract-first, avaliações antes de opiniões, uma variável por tentativa, contabilidade de tokens desde a primeira chamada de API. Cards com topo vermelho são as fases com maior chance de queimar tentativas extras; seus ramos pessimistas estão pré-planejados no códice.

Tours & Qualificação, A Experiência

Clique na aba → intenção → tour nos trilhos. O modelo chama start_tour / advance_tour / end_tour / capture_lead; cada argumento é validado no servidor contra o banco de dados. O widget rola, navega (CustomEvent → router.push, com fallback location.assign), destaca, confirma, e só então o agente narra aquela etapa e faz sua pergunta. A dessincronia é estruturalmente impossível, não apenas desencorajada por prompt.

O Harness de Avaliação

Construções anteriores de agentes de chat queimaram tentativas em ping-pong de prompt baseado em gosto. Aqui, da Fase 6 em diante, toda mudança de prompt (humana ou proposta pela máquina) roda primeiro o golden set: 25 conversas congeladas, personas simuladas pelo Sonnet, pontuadas de 1 a 5 contra uma rubrica ancorada por um prompt de juiz versionado. Regra de publicação: o agregado não pode cair, e nenhum caso de segurança pode cair.

Defesa em Profundidade

Objetivo de design: não é ser "injailbreakável" (impossível), mas um jailbreak é entediante. Nada valioso é acessível a partir de um turno comprometido: sem secrets no prompt, ferramentas validadas por trilhos, saída com tripwire, gasto limitado.

Os anéis, de fora para dentro

Anel	Mecanismo
Pimite + custo	20 msgs/10min por sessão, 60/h por IP, entradas de 2K caracteres, max_tokens 1024, orçamento global diário de tokens, kill switch no banco
Heurísticas de entrada	"Ignore previous", blocos base64, unicode zero-width: alta confiança → desvio educado + flag; média → apenas flag (nunca punir inocentes)
Trilhos de ferramentas	Rotas autorizadas e etapas do tour vindas do banco, schemas rígidos, campos de lead sanitizados. Exfiltração por ferramentas é estruturalmente impossível
Tripwire de saída	O relay varre o stream em busca do token canário + fingerprints P0; se detectar: mata o stream, resposta padrão, flag de alta severidade
Núcleo (P0)	Conteúdo do usuário tratado como dados; alegações de identidade no chat não mudam nada; não há secrets aqui para roubar

Envenenamento do loop de aprendizado, o ataque sutil: falar de forma estranha com o agente por uma semana para ensinar maus hábitos falha duas vezes. Conversas marcadas são excluídas da agregação de estilo, e os controles se movem no máximo ±0,10/semana dentro de limites min/max rígidos com suavização EMA. Você não consegue ensiná-lo atacando.

O Poop Semanal de Autoaperfeiçoamento

Todo domingo às 03:00: coletar as conversas da semana → um Message Batch do claude-sonnet-5 (50% do preço) julga cada uma por injection (taxonomia: override, sequestro, extração, abuso de ferramenta, encoding, engenharia social, envenenamento) e qualidade (grounding, tom, resolução, sinais perdidos) e emite observações de estilo → agrega → proposta limitada de controles → golden set roda automaticamente → e-mail digest para Mark com Aprovar/Rejeitar → canário de 10% por 72h → promove ou faz rollback automático em picos de flags/abandono. Flags de alta severidade enviam e-mail imediatamente, não semanalmente.

{ "formality":     {"value":0.55, "min":0.4, "max":0.8},
  "brevity":       {"value":0.60, "min":0.4, "max":0.9},
  "warmth":        {"value":0.65, "min":0.5, "max":0.9},
  "directness":    {"value":0.60, "min":0.4, "max":0.9},
  "emoji":         {"value":0.00, "min":0.0, "max":0.2},
  "jargon_level":  {"value":0.40, "min":0.2, "max":0.7},
  "question_rate": {"value":0.50, "min":0.3, "max":0.7},
  "playfulness":   {"value":0.30, "min":0.1, "max":0.5} }
// weekly delta clamp ±0.10 · EMA over 3 weeks · dead zone |δ|<0.03
// vocabulary: whitelist of ≤10 observed terms, ≥3 distinct convos, filtered
// verbatim visitor text: never enters any layer, ever

O Códice de Cenários

43 falhas pré-planejadas em seis frentes. P = probabilidade. Cada "Resposta" já existe nos desenhos de fase acima; esta tabela é o índice que prova isso. A versão completa em prosa fica em WAR-GAME.md Seção 12.

Bloco de Bootstrap do Agente

Vai entregar este dossiê a um agente novo? Este bloco mais WAR-GAME.md é tudo de que ele precisa. Primeiro o resumo legível por máquina, depois o checklist humano.

{
  "project": "pa-chat-v0",
  "goal": "Embeddable guided-tour chat agent for the Prompt Advisers website",
  "authoritative_plan": "WAR-GAME.md (same folder). Execute phases 0-9 in order.",
  "stack": {
    "widget": "vanilla TS, single widget.js, Shadow DOM, fetch-reader SSE (never EventSource)",
    "backend": "Supabase Edge Functions: chat, lead-nãoify, review-submit, review-collect, admin-promote",
    "db": "Supabase Postgres, RPS deny-all to anon, schema in WAR-GAME.md 1.4",
    "chat_model": "claude-haiku-4-5 (200K ctx, 64K out, $1/$5 MTok, NO effort param, cache prefix >= 4096 tk)",
    "judge_model": "claude-sonnet-5 via Message Batches API (50% price)",
    "cron": "pg_cron + pg_net -> edge functions, heartbeat rows"
  },
  "hard_rules": [
    "model never edits its own live prompt; only proposes bounded P3 dial changes",
    "promotion path: eval gate -> human approval -> 10% canary 72h -> promote/auto-rollback",
    "facts table is the only source of business claims",
    "tours are Banco-authored rails; model cannão invent routes or selectors",
    "verbatim visitor text never enters any prompt layer",
    "anthropic key only in Supabase secrets; browser talks only to our functions"
  ],
  "blocking_inputs_from_mark": [
    "supabase project ref + access", "ANTHROPIC_API_KEY",
    "site URP + route list (by phase 4)", "offerings/pricing one-pager (by phase 5)",
    "credentials bio (by phase 5)", "workshop catalog enterprise+SMB (by phase 5)",
    "brand voice nãoes (by phase 2)"
  ],
  "definition_of_done": "WAR-GAME.md section 13, seven items, all verifiable",
  "first_command": "read WAR-GAME.md fully, confirm section 0.4 inputs, then begin Phase 0"
}

Versão em Português

Esta página é uma tradução/adaptação para português do dossiê visual de war game. A estrutura, o layout e os conceitos técnicos foram preservados. Termos técnicos como widget, Edge Functions, SSE, prompt caching, canary, rollback e eval foram mantidos quando a tradução poderia prejudicar a precisão.