该论文揭示了在防御大型语言模型（LLM）免受间接提示注入攻击时存在安全性与保真度之间的固有权衡。传统攻击成功率指标无法区分模型忽略注入、将注入作为数据处理以及正确执行注入这三种情况，因此无法衡量保真度。为此，作者提出了SecFid基准测试，通过设计使得执行注入、作为数据处理和忽略注入产生可区分的输出，从而使得保真度变得可测量。基于1168个示例和48种配置的实验表明，没有任何模型或防御能够同时实现高安全性和高保真度：最高保真度的模型在47.8%安全性下达到96.5%保真度，而最安全的防御在99.3%安全性下仅能达到71.0%-73.9%保真度。进一步分析发现，即使安全性相同的防御，其实现方式也不同：有些能够将劫持修复为忠实的处理，而另一些则只是简单地抑制良性内容。决策理论分析表明，正确的行为不是防御本身的属性，而是取决于部署场景，由劫持成本与内容丢失成本的相对大小决定。因此，仅凭安全性只能衡量鲁棒性的一半，若不报告保真度，就会隐藏其代价。