该论文研究大语言模型（LLM）越狱攻击的防御问题。当前防御手段分布在推理流水线的不同阶段（例如输入改写/输入过滤、输出护栏/输出检测等），但业界仍不清楚每个阶段应部署哪类防御、以及应如何将它们组合使用。以往的实证研究由于攻击成功率定义不一致、实验设置各异而彼此割裂，大多将防御孤立评估，导致结论难以横向比较。为此，作者提出 CASCADE 框架，在“直接的、黑盒、单轮攻击”这一统一威胁模型下，首次系统性地研究同一阶段内以及跨阶段的防御组合。其决策框架通过有原则的攻击成功率定义、受控的查询预算以及明确的公平性规则来标准化评测流程。实验覆盖 19 种攻击与 15 种防御，主要发现是：不存在普遍最优的单一防御，但经过精心挑选的组合能在几乎不损失模型可用性的情况下显著提升安全性，并据此给出分层防御流水线的实践选型建议。该工作面向 LLM 安全对齐、红队评测与防御管线设计的研究者和工程师。