本文针对网站指纹（Website Fingerprinting, WF）攻击的防御评估标准提出重要批判与改进建议。WF 攻击能够通过分析加密流量模式（如数据包大小、时序、方向等）来识别用户访问的网站，严重威胁 Tor 等匿名通信系统的隐私保护。为抵御此类攻击，研究者已提出多种防御机制，并通常在所谓的“多页面”（multi-page）设置下进行评估。该设置要求攻击者在包含多个网站页面的数据集中识别目标页面，被认为对攻击者而言难度较高，因此使得防御方处于有利地位。作者指出，这种评估方式存在严重缺陷：它为弱防御提供了虚假的成功表现，导致某些仅适用于受限场景的防御方法被误认为有效。为此，论文提出应采用“单页面”（one-page）设置作为全新且更严格的评估标准。在单页面设置中，攻击者面对的任务是判断用户是否正在访问某个特定页面，更贴近实际攻击场景中资源有限但目标明确的情形。这一标准显著提高了对防御能力的要求，只有真正强大的防御才能经得住考验。作者主张所有未来的 WF 防御研究都应默认采用该设置进行统一评估。本文的核心贡献并非提出新的攻击或防御算法，而是推动评估方法论的变革，有助于提升 Tor 等匿名系统的安全性，避免过度乐观的防御结论误导实际部署。该文适合从事匿名通信、流量分析、隐私保护相关研究的学者和工程师阅读。

该论文系统评估了基于提示的防御机制对领域伪装注入攻击的效果。领域伪装注入攻击是一种利用领域特定词汇将恶意指令嵌入检索内容中，从而绕过依赖语法注入标记的标准检测器的攻击方式。研究者在三个模型家族（Claude Haiku、Llama 3.1 8B、Gemini 2.0 Flash）和三个部署领域（金融、法律、通用）上，通过3510次试验测试了五种提示防御策略：突出显示、释义、提示夹层以及两种组合。结果表明，在智能体处理前对检索内容进行释义是最一致有效的防御，根据模型不同，可将伪装攻击成功率降低55-84%，且在所有测试模型上均优于Llama Guard 4配置。防御效果高度依赖模型：突出显示在Claude Haiku上能将攻击成功率减半，但在Llama 3.1 8B上无益。金融领域部署面临最高残余风险，基线攻击成功率为26-33%，且对于较弱模型，没有任何基于提示的防御能完全消除威胁。该研究首次系统评估了专门针对伪装类注入攻击的提示防御，为实践者提供了基于基准的推荐。所有任务均使用合成构建的专业文档，这些基准排名是否适用于真实企业文档仍有待验证。