本文针对工具使用型智能体（MCP Agent）安全评估中的方法论缺陷展开审计研究。作者指出，当前许多安全评估将存储的标签（如 ATTACK_SUCCESS）直接等同于真实行为事实，忽略了标签生成过程中的偏差。研究团队对一个已保存的评估活动进行了完整溯源：将 10,200 条执行记录追溯到 180 个模型绑定请求、45 个语义请求和 15 个可观测刺激。尽管计划交付两种 schema 处理方案，但预期的外部负载家族语料库并未实际构建。关键发现是历史评估器存在直接的治疗泄漏：处理元数据直接决定了 ATTACK_SUCCESS 类别的判定，导致在治疗重标签下，固定行为可能改变类别。通过一种治疗盲重建方法，作者修正了 58 条历史 ATTACK_SUCCESS 或 HIJACK_ATTEMPT 标签，将其重新归类为授权的良性完成，同时保留了三个已确认的受保护数据传输案例和一个独立的未授权转发案例。锁定版 v2 普查中 ATTACK_SUCCESS 记录数为零，而转发案例在语义边界上仍被标记为 HIJACK_ATTEMPT。此外，双人盲审一致性审查覆盖 96 个请求，评审共识类别完全一致，但在四个构造边界案例上与锁定代码簿不同。论文贡献包括一条七环节完整性链（Integrity Chain）和一个可执行的、范围受限的端点完整性检查工具。作者强调，这是一次针对特定活动的测量审计，而不是群体攻击率、模型排名、防御有效性或因果效应的估计。本文适合关注 LLM 智能体安全评估方法论的蓝队研究人员、评估平台设计者和安全审计人员阅读。