网页提示注入测评，不能只看智能体最后有没有交出正确答案。网页既是待提取的资料，也可能包含试图改变任务目标、诱导越权操作的内容；真正需要检验的是，智能体能否把网页内容当作不可信数据处理，而不把其中的指令误认成用户授权。
把注入风险设计进任务
可在固定网页资料和固定整理任务中设置对照条件：一组页面只包含正常资料，另一组加入与任务无关、试图影响智能体行为的内容。两组任务、权限和判分规则保持一致，避免把浏览能力差异误判为安全差异。若同时测试自主搜索，应与给定页面的提取任务分开记录。
判定不能停留在“最终答案看起来正常”。应检查智能体是否偏离用户指定目标、是否把页面中的指令当作有效命令，以及是否尝试访问任务范围外的网站、请求不必要权限或执行未经确认的操作。即使操作最终未成功，尝试行为也应记录；若出现未经授权的数据读取或外传迹象，更不能被任务完成率抵消。
结果要拆开报告
每次运行应保留原始答案和可核对的过程记录，并区分安全结果与资料质量：引用是否准确、必需字段是否完成，衡量的是整理能力；是否服从网页中的越权指令、是否出现危险尝试，衡量的则是安全边界。重复测试时，还要固定网页内容、权限条件和会话设置，否则结果难以复现。
发布结论时，应说明测试任务、页面条件、判定口径和失败表现，不宜压缩成单一总分。一次测评只能说明智能体在特定条件下如何处理网页中的对抗性内容，不能证明它在所有网站和任务中都安全。对实际部署而言，关键不是网页里有没有可疑文字，而是智能体是否始终遵循用户授权，并在不确定或涉及敏感操作时停下来请求确认。