diff --git a/docs/memory/FLOW.md b/docs/memory/FLOW.md
index bf6ac71..55357fe 100644
--- a/docs/memory/FLOW.md
+++ b/docs/memory/FLOW.md
@@ -72,7 +72,7 @@ agent_service：LangGraph StateGraph + DeepSeek；tool(意图→Tool) → llm 
 Tool（tool_service.run_tool：白名单 → 归属校验 → 执行 → agent_tool_call 落库）：
   - CoreReadOnlyRepository：持仓/流水/L0（customer_id 由会话注入，不来自 LLM）  【T-04 已做 app/tool/core_tools.py 三 Tool】
   - 风控四 Tool：alert_query/customer_context/suitability_check/aml_lookup     【待做 C1 chat_tools，复用 run_tool】
-  - milvus_tool：产品规则 RAG + source_refs                   【待做 T-21】
+  - milvus_tool：产品规则 RAG + source_refs                   【已做 T-21（app/tool/kb_tools.py + rag_service/milvus_service；仅 customer/advisor 意图开放）】
   - memory_service：读/写 L1/L2/L3（ProfileGuard）              【窗口读写已做；画像读写待做】
 ↓
 输出：assistant 消息 + has_disclaimer（customer/risk 固定免责，T-07 guard 节点）
diff --git a/docs/memory/MEMORY.md b/docs/memory/MEMORY.md
index 64b9aca..dbd7c08 100644
--- a/docs/memory/MEMORY.md
+++ b/docs/memory/MEMORY.md
@@ -18,7 +18,9 @@
 | `app/main.py` | **已集成** | 路由挂载 + trace 中间件（X-Trace-Id/X-Request-Id 贯通 + 500 兜底错误体）+ audit 中间件（T-02 http_access）+ lifespan（jwt_ready 校验 · Redis 网关注册 · 引擎 dispose） |
 | `app/api/risk.py` `simulate.py` `deps.py` | **已实现** | 风控 4 API + 模拟网关路由 + **JWT 鉴权工厂（T-01：Bearer 全环境优先；debug 头仅 dev+无 RS256 公钥时兜底；AGENT_ACCESS_MATRIX 准入）** |
 | `app/api/chat.py` `audit_middleware.py` | **已实现（T-06/T-02）** | POST /api/chat（SessionGuard+归属+窗口+落盘）· http_access 访问审计 |
-| `app/api/knowledge.py` `admin.py` | 空壳 | 待 T-21（Milvus/RAG）与审计查询台 |
+| `app/api/knowledge.py` `admin.py` | 空壳 | 待审计查询台与知识库 API（T-21 拍板一期只做脚本入库，上传/重建端点不做） |
+| `app/service/embedding.py` `milvus_service.py` `rag_service.py` | **已实现（T21-1/2/4）** | Ollama bge-m3 1024 维（失败不静默降级）/ kb_product_rules 建集合+upsert+合规过滤检索 / search_knowledge→chunks+source_refs 溯源 |
+| `app/tool/kb_tools.py` | **已实现（T21-5）** | search_knowledge 对话 Tool（skip_access_check 公开知识；仅 customer/advisor 意图开放，risk 不开放）；kb_product_rules 首批 24 块已入库（data/kb 6 产品手册，scripts/kb/build_kb.py 可重灌） |
 | `app/service/auth_service.py` | **已实现（T-01）** | Auth SDK：JWT 验签（HS256 dev/RS256 生产）、必填 claims、jti 吊销（Redis fail-open）；签发 CLI `scripts/dev/issue_dev_token.py` |
 | `app/service/risk/*` + `service/suitability.py` | **已实现** | RISK-001~005 规则 / 预警聚合 / L3 写入 / AML / 引擎编排 / SUIT-001~008 / locks+redis_gateway 公共原语（B7） |
 | `app/service/agent_service.py` `memory_service.py` | **已实现（T-07/T-06/T-04/C2）** | LangGraph StateGraph（tool→llm→guard）+ DeepSeek（无 key 降级）；T-04 tool 节点（关键词意图 customer/advisor/risk 分组 + tool_service.run_tool）；C2 tool_node 守卫放宽（requires_customer=False 允许无绑定客户，支撑 A-6 全量待审）；Redis 会话窗口 + MySQL 回源 |
@@ -56,7 +58,7 @@
 > **本机 ①~⑤已执行、`.env` 已配置，勿重做**；本机状态与已知坑（mysql.exe 路径 / reset.ps1 交互式 -p / `redis`、`python-jose` 包漏装已补）见 `FLOW.md` §0 尾注。
 > **演示库状态（2026-09-07）**：已按演示 SOP §2 重灌并清理冒烟数据（alerts 0 / AML 8 / 会话 0），pytest 全量可直接跑；**下次演示/走查后再按 SOP §2 重灌**（核查单⑥前置断言会对走查残留显式 fail，属防护行为）。
 
-**下一步开发（见 TODO）：** T-21 Milvus / T-03 输入防护 / 风控阶段 C（C0~C3，A-6 对话验收；C1 风控四 Tool 复用 T-04 run_tool）。演示走查按 `docs/项目框架设计/演示SOP-风控模块.md`（debug 头通道仍有效；JWT 通道签发用 `scripts/dev/issue_dev_token.py`）。
+**下一步开发（见 TODO）：** ~~T-21 Milvus~~（已完成 2026-09-07，425 绿，待独立 AI 评审）/ 前端 React 多 Agent 入口。演示走查按 `docs/项目框架设计/演示SOP-风控模块.md`（debug 头通道仍有效；JWT 通道签发用 `scripts/dev/issue_dev_token.py`）。知识库入库：`python scripts/kb/build_kb.py`（先启 Ollama；**Milvus 数据路径必须纯英文**——faiss 不支持中文路径，本机 .env 已配 C:/Users/YUAN/.jinrong/milvus/）。
 
 **禁止（改代码前必记）：** Core 正式 C1~C5 不可被画像覆盖 · 审计表只 INSERT · 代理人草稿不外发 · 仅 R-02 可阻断交易 · 四 Agent 不互调 LLM。
 
@@ -65,8 +67,8 @@
 ## 1. 项目简介
 
 - **名称：** JinRong 金融四 Agent 智能管家
-- **当前阶段：** **T-04 Core RO Tool 节点完成并经两轮评审闭环（2026-09-07）**；Wave 0 共用底座完成（T-01 JWT / T-02 审计中间件 / T-06 / T-07 LangGraph）；风控模块 B1~B9b 完成（M2 tag risk-m2）+ M4 复核闭环；风控阶段 C 完成（M3 tag risk-m3，345 绿）；**T-03 输入防护完成（2026-09-07：input_guard 注入词表 42 条纯函数检测 + oversize 4000 + actor 级 Redis 限流 30 次/分 fail-open，chat 链路 限流→注入/超长→归属 fail-fast，378 绿，独立 AI 评审 PASS with findings P0=0，P2 已收口）**；下一批 = T-21 Milvus / 前端 React 入口
-- **当前优先级：** T-21 / 前端 React 入口 → Wave 1
+- **当前阶段：** **T-21 知识库入库已完成（2026-09-07：embedding/milvus_service/rag_service/kb_tools 四层 + 6 产品手册 24 块真库入库，search_knowledge("基金申购") TopK 验收通过，425 绿，待独立 AI 评审）**；风控阶段 C 完成（M3 tag risk-m3，345 绿）；T-03 输入防护完成（378 绿，评审 PASS with findings P0=0）；下一批 = 前端 React 入口
+- **当前优先级：** 前端 React 入口 → Wave 1（T-21 已完成）
 
 ------
 
diff --git a/docs/memory/TODO.md b/docs/memory/TODO.md
index e6c911b..0017ad7 100644
--- a/docs/memory/TODO.md
+++ b/docs/memory/TODO.md
@@ -5,12 +5,12 @@
 
 ## 进行中
 
-（无——风控 M2 收尾已闭环，Wave 0 已完成，均见「已完成」）
+（无——T-21 已完成待独立 AI 评审；评审通过后下一项 = 前端 React 多 Agent 入口）
 
 ## 待办（推荐顺序）
 
 - [x] T-04 Core RO 封装为 Tool 节点；A-01 归属校验（chat Tool 接入 + agent_tool_call 落库）—— **完成（2026-09-07）**：`app/tool/core_tools.py`（L0/持仓/流水三只读 Tool + TOOL_REGISTRY 白名单）+ `app/service/tool_service.py`（关键词意图仅 customer/advisor；归属校验对齐 deps.assert_customer_access 口径——Tool 层拒绝不抛 403 而 blocked 留痕，纵深防御；run_tool 执行+落库，落库失败降级）+ agent_service 图 tool 节点（START→tool→llm→guard；结果注入 LLM 上下文，降级回复带摘要）+ session_repository.insert_tool_call（message_id 一期 NULL）。**A-01 口径：本任务只做 Tool 层归属校验语义（customer 本人/advisor assigned/risk_officer 全量/其余拒），A-01 完整场景（代理人画像）仍归 T-20**；risk 分支四 Tool 归 C1 复用 run_tool。**评审闭环（2026-09-07）：首评 P1×2+P2×3+P3×2 → 修复 `40a9ee2` → 复审 P2×1+P3×4 → 修复 `1216d26`，pytest 321 绿；入参白名单+days 钳制、公共鉴权双写 `utils/authz.py`、list_holdings LIMIT 均落地**
-- [ ] T-21 Milvus Lite + kb_product_rules 首批入库
+- [x] T-21 Milvus Lite + kb_product_rules 首批入库 —— **完成（2026-09-07，commits e34973f~535c8a0 共 6 个）**：`app/service/embedding.py`（Ollama bge-m3 批量 /api/embed 1024 维，四类失败一律 EmbeddingError 不静默降级）+ `app/service/milvus_service.py`（kb_product_rules 幂等建集合+upsert+search_kb 溯源/effective_date 合规过滤）+ `data/kb/` 6 只种子产品手册（prospectus/fee/rule/risk 四节 24 块）+ `scripts/kb/build_kb.py`（--dry-run/--kb-dir）+ `app/service/rag_service.py` 落地（search_knowledge→chunks+source_refs，异常上抛防 LLM 编造）+ `app/tool/kb_tools.py` 挂注册表第三层（**ToolSpec 新增 skip_access_check**：公开知识无归属语义，advisor 无绑定客户可查；意图层限定 customer/advisor，risk 不开放——用户拍板）+ tool_node 按 spec 白名单注入 query + summarize 溯源口径。**真库验收：24 块入库，search_knowledge("基金申购") Top3 命中申赎规则（score 0.73+），溯源完整**。三坑收口：Milvus Lite 跨进程重开须显式 load / faiss 不支持中文路径（本机 .env 改 C:/Users/YUAN/.jinrong/milvus/）/ build_kb sys.path 引导。知识库 API（上传/重建端点）一期不做（knowledge.py 仍空壳，用户拍板），425 绿
 - [x] T-03 输入防护规则（F-03：prompt_injection/oversize/限流）—— **完成（2026-09-07，commits 497554d/65b45aa/cc6f34f/207fc79）**：`app/service/input_guard.py`（注入短语词表 42 条四类纯函数检测 + `inspect_message` oversize 4000 先于 injection + `check_rate_limit` Redis INCR 固定窗口 actor 级 30 次/分 fail-open）+ chat 路由接入（顺序：鉴权→准入→空白→限流 429→注入/超长 400→归属→会话；被拒 fail-fast 不建会话不落消息，blocked 落 input_guard_log，留痕降级不改拒绝语义；Pydantic 硬顶 20000，业务限 4000 移 guard 层换留痕）+ redis_gateway.incr + settings.guard_rate_limit_*；拍板：命中即拒不清洗、仅 blocked 留痕、词表代码常量可审计。**独立 AI 评审 PASS with findings（P0=0；P2×3 已收口：词表断言修正/补 7 条同构变体/窗口 TTL 断言+EXPIRE 失败取舍锁定；P3 已收 session_id 截断，挂账对抗变体扩表）**，378 绿
 - [x] 风控阶段 C（C0 pytest-asyncio / C1 chat_tools / C2 risk 分支 StateGraph / C3 A-6 验收）—— **完成（2026-09-07）**：`app/service/risk/chat_tools.py` 四只读 Tool（alert_query/customer_context/suitability_check/aml_lookup）挂 `RISK_TOOL_REGISTRY`；`tool_service.run_tool` 改查 core+risk 统一注册表 `get_registered_tool` 且恒传 `risk_repo`；`_normalize_params` 读 spec 白名单；`match_intent` 按 agent 分组扩 risk 关键词；`agent_service.tool_node` 守卫放宽（`requires_customer=False` 允许无绑定客户，支撑 A-6 全量待审）；A-6 验收+诱导处置边界（无处置 Tool、系统提示禁自动处置、诱导只触发只读且预警状态不变）；**独立 AI 评审 PASS（P0=0，P2 补 advisor 归属/空 product_id 单测已收口），345 绿，tag `risk-m3`**
 - [ ] 前端 React 多 Agent 入口（HashRouter，`web/` init）