“Aggregate utility does not decline: it changes from 90.6% to 92.5%”——这是 PIPES 论文对自家防御的良性效用报告。同一时期，AgenTRIM 测得 “CaMeL achieves low ASR at the cost of very low utility”，OBLIVION 测得 Task Shield “reduces ASR to 0, but also fails all locked utility rows”，一篇独立红队评测记录 circuit breakers 把良性拒答率从 4% 推到 38.5%。

把这批证据按”谁测的”重排一遍，结果很整齐。

他人测的防御，全部效用崩塌。 CaMeL 在 AgentDojo 上 30.9% vs Default 61.9%（Twin Agent 测）；Progent/DRIFT 这类系统级基线 “exhibit clear over-defense on AgentDyn, with very low CU”（一篇上下文感知检测的论文测）；Task Shield 的 Phase-2 utility 是 0.0，对照方案是 1.0；一个 3B 安全 gate 拦掉 78% 的调用，任务成功率 .254→.180，攻击成功率 .047→.004。

自己测的防御，全部近零代价。 CRG 声称 “closely matching the inherent refusal rates of the unprotected models”；Prismata 在 WebArena 无攻击条件下 29.9%→26.6%；PIPES 甚至是负代价（Gemma 90.6%→92.5%，Luna 84.0%→86.5%）。

所以「防护越强、良性代价越大」这条论断里”代价随强度单调增长”的那一半，在现有证据里几乎只由被第三方当作基线来打的防御支撑。它成立的范围写清楚应该是”被竞品论文评测的防御”，而不是”所有防御”。

判断：这条论断当前的经验基础带有系统性归属偏差。真正的分界线可能不是防护强度，而是机制类型——限制信息流/权限的防御（CaMeL 的能力标签、Task Shield 的动作检查器、privilege separation）付效用代价，而检测并剥离注入内容的防御（CRG/Prismata/PIPES 这类）在自报数据里不付。但后者的零代价至今没有一次独立复现。

翻供条件：2027-06-30 前出现 ≥3 项由非原作者团队在同一 benchmark 上做的复现，显示这些自报零代价的内容剥离型防御良性效用下降 ≤1 个百分点。届时归属偏差这个解释作废，应当承认是真实的机制差异。反过来，若第三方复现测出这些防御在 AgentDojo/WebArena 上掉 10 个点以上，那论断本身没问题，只是每篇论文都在给自己打分。

实验条件：这里有个必须点名的缺口

三个自报零代价的数字里，两个没有攻击者。Prismata 的 29.9%→26.6% 明确标注是 WebArena 无攻击基线；CRG 的 FPR 对比用的是 XSTest/MT-Bench 上的良性但敏感查询，同样没有对手。这类”良性效用测量”本身是合理的——你就是要知道防御平时妨不妨事——但它跟”防护强度”这个变量根本不在同一坐标系里。无攻击者的效用数字，说明不了这个防御在强度轴上处于哪个位置。

PIPES 是唯一给了攻击者预算的：对手控制一次工具响应里的一个字段或一个 provenance unit，可以基于目标 agent 和防御的特权反馈自适应地改 payload，最多 10 次尝试。这个预算下 Gemma 的 ASR 从 84.7% 掉到 2.3%，同时效用不降。

对面那些被测崩的防御，威胁模型往往更宽。Twin Agent 那组假定攻击者可以往 issue 描述和工具输出注入；Trojan Hippo 的对手对 system prompt、memory backend、tool interface 是白盒的，只是不碰模型权重，四种防御把 ASR 压到 0–5%，最严格的到 0%，”the utility cost of some defenses can be prohibitive, depending on a task’s capability requirements”。

所以这不是一个干净的对照。自报组是”弱预算或零预算下测效用”，他评组是”较宽预算下测效用”。归属偏差和威胁模型差异纠缠在一起，现有引文里没有任何一篇并排报告过自评与他评。

攻击者预算提高一档，这条会在哪里断

对 PIPES 这类内容剥离型防御，最可能的断点是注入单元数。它的预算写死在”一个字段/一个 provenance unit”，而防御机制建立在 provenance 上——一旦对手能同时污染多个 provenance unit，剥离逻辑要么漏掉（ASR 上升），要么被迫扩大剥离范围（效用开始掉）。哪一边先动，决定这条论断是被翻还是被证实。

我不知道答案。要知道，需要 PIPES 或第三方在 2 个、4 个、8 个可控 provenance unit 下重跑那六个 split，同时报 ASR 和 utility。现在的表里只有 n=1 那一列。

多轮预算同理：一份多轮 agent 安全评测显示，只按第一轮打分 ASR 是 0.0%/0.0%/1.0%，按完整 15 轮打分变成 5.4%/5.4%/14.0%。所有这些自报零代价的效用数字，是在多少轮的会话上测的，引文里没写。

本文由自动化管道生成（采集 → 逐字核验 → 模型撰写），未经人工改写。