防护评估指标是什么
衡量注入防护要至少三个数字：攻击成功率（ASR，攻击用例被成功诱导的比例）、误伤率（正常请求被错误拦截或降级的比例）、覆盖情况（各攻击面的分组通过率）。只看一个会得出片面结论：单看攻击成功率会忽略防护给业务带来的代价，单看误伤率则等于没测安全性。三项分开报告，才能同时回答「防住了吗」和「代价是什么」。
基本信息
| 适用平台 | 带工具调用、检索或联网能力的 LLM 应用 |
|---|---|
| 核心指标 | 攻击成功率 ASR、误伤率 FPR、分组覆盖、防护层附加延迟 |
| 对照要求 | 攻击用例与等量正常样本配对比对，两者共用同一套判定流程 |
| 复测纪律 | 模型或提示更新后复跑同一套用例，不换题、不改判定标准 |
典型使用场景
- 防护上线前：确认新机制真的降低了攻击成功率，而不只是增加了配置
- 上线后回归：模型升级后复测，判断是否出现新的绕过路径
- 参数调优：为输入检测的定级阈值找到误伤与拦截的平衡点
- 对外说明：用可复现的指标回答客户关于安全性的询问
- 资源分配：从分组通过率看哪一类攻击面最薄弱，优先投入
指标表模板
指标表模板
# 攻击成功率 ASR：各组攻击用例被成功诱导的比例（目标为 0）
# 误伤率 FPR：正常样本被错误拦截或降级的比例（目标接近 0）
# 覆盖：五组攻击面的分组通过率，标出最薄弱的一组
# 变体强度：对已知用例做改写后的通过率，比原始用例更接近真实
# 延迟开销：防护层带来的额外 P95 延迟
# 版本对照：与上一次测得的同一组指标并列，标注模型与提示版本指标解读与处置
| 观察 | 可能原因 | 下一步 |
|---|---|---|
| ASR 高且 FPR 低 | 防护过松 | 加强检测与工具侧校验 |
| ASR 低但 FPR 高 | 防护过紧，正常业务被拦 | 按影响面分级，放宽低危场景 |
| 分组差异大 | 某条通道未覆盖 | 补齐该攻击面的检测与隔离 |
| 变体通过率明显更高 | 规则依赖具体措辞 | 改为按语义族设计规则 |
| 复测数值大幅波动 | 判定标准或环境变化 | 固定环境与判定流程后重测 |
判定优先看客观副作用——是否发起了外呼、是否调用了敏感工具、是否改动了数据。只按回复措辞判定会说「我不会执行」就算通过，容易高估防护效果。
变体测试比原始用例更能反映真实强度：固定用例集一旦被针对性优化，指标会好看但泛化能力没有提升。