论文审计33,000条工具调用agent轨迹发现：低注入攻击成功率并不等于防御成功。基准判为“攻击失败”的轨迹中，76%至80%只是agent忽略了注入内容，真正安全拒绝仅约18%。仅改system prompt，同一权重ASR可在0.2%与43%间摆动；部分agent识别出注入仍照做。ASR把忽略、拒绝、识别后失守混为一谈，系统性高估防御能力。