该论文针对加密C2流量检测中常见的多视图融合假设展开实证研究。作者指出，随着C2流量越来越多地隐藏于TLS，防御方常用流统计特征与TLS握手指纹两类元数据训练机器学习模型，并普遍认为二者融合可同时提升准确率与鲁棒性。为验证该假设，研究者使用来自62次真实Cobalt Strike捕获的17,577条TLS流，并设计去除数据泄露的评估流程。结果发现，评估设计本身比融合效果更重要。第一，若频率编码在完整数据集而非交叉验证折内计算，会因数据泄露使F1虚高0.28，该提升约为任何真实效应的10倍。第二，标签与行为特征均依赖目的地址，17,577条流实际仅对应2,132个独立组；按流统计的55.1%正样本率看似平衡，按端点统计则降至4.2%，说明类别平衡只是分析口径的产物，而非任务固有属性。第三，62次捕获中有20次（32%）不含任何到已知C2地址的TLS流，仅含良性样本，作者确认这是真值标注缺口而非标注错误。在此严格评估下，融合仅比最佳单视图高0.022 F1。当攻击者同时伪造两类特征面时，所有模型均差于始终预测正类的简单基线（F1=0.711）。论文强调，对加密C2检测而言，评估设计不是预备步骤，而是核心结果本身。