大模型安全评估正常请求、冲突指令与工具调用分层验证大模型安全不能靠“它拒绝了几次攻击”下结论。解析规则、权限传递和完整工具链分别承担不同风险测试也要分层。适用条件先说在前面这里讨论的前提是能够控制和审计提示词、工具参数、模型回复和外部检索结果。若授权、数据来源或运行环境不同应重新评估不能直接照搬。三层测试各自拦什么单元层固定提示词与策略版本检查指令优先级、结构化输出解析、工具参数校验和权限判断不连接真实工具。集成层加入不可信检索内容与受限工具确认认证上下文没有被模型输出改写超时或拒绝也不会触发后续动作。端到端层只保留少量高风险任务核对冲突指令下的拒绝理由、实际工具调用和副作用记录能够相互对应。评估要覆盖拒绝质量主观“感觉更安全”不能作为评估结果。样本集应区分正常请求、冲突指令和不可信检索内容分别记录是否拒绝、拒绝理由是否稳定、工具是否未被调用测试集变更也要留版本。把策略版本、拒绝原因与脱敏后的调用标识与本次范围一一对应。能对上说明过程可追踪对不上就先补记录再扩大使用。