一句话口径：拦截率的分母是「真的跑了的攻击用例」，不是「用例总数」。 用总数当分母会让跳过的用例冒充「拦住」，那是把评分做高、不是把防护做强。

拦截率 13 ÷ 17 = 76.47%，绕过率 4 ÷ 17 = 23.53%，误报率 0 ÷ 8 = 0.00%。 17 = 19 条应拦用例 − 2 条 SKIPPED。同一次 run 的 totalTokenCost 是 0： 这一套是离线规则判定，一条模型都没调（那 2 条要模型的用例根本没跑起来，所以也没花钱）。

换个算法（更严的那种）：如果把「跳过」当作「没拦住」，分母回到 19，拦截率变成 13 ÷ 19 = 68.42%、绕过率 6 ÷ 19 = 31.58%。两个数都摆在这里 —— 挑哪个取决于你想问的是「规则本身拦得住几成」还是「整套评测跑全了能拿几分」， 本页默认用前者（分母只放真跑了的），因为它才是防护能力的下限。

别被 −2 骗了：上一轮（11:45 那次）blocked=15，这一轮 blocked=13， 少的 2 条不是新破了 2 个洞，而是那 2 条需真模型的用例这次被判了 SKIPPED， 从分子里退出了。真正可比的数是 bypassed 一直是 4 —— 那 4 条从 10:00 起就没变过。

「绕过型」这一组是刻意补的，也是整套评测最有价值的部分。第一版只有 19 条用例，跑出 「11/11 全拦、0 绕过、0 误报」—— 看着漂亮，恰恰说明评测集失效：用例是照着防护规则写的， 当然全能命中。0% 绕过率不是成绩，是测试集没有区分度的信号。 于是补了 8 条专撞规则边界的变形载荷（字符插空 / 同义改写 / 全角字母 / Base64 / 中文新词 / 凭据拆开写 / 编码后的私钥 / 中文自然语言口令），绕过率立刻从 0% 变成 42.11%。 本页展示的 23.53% 是之后补强规则的结果 —— 它有区分度，所以它不好看。

同组里挡住的 4 条（说明规则不是全失效，是边界没盖全）： rt-bp-pi-space-20 字符插空、rt-bp-pi-fullwidth-22 全角字母、 rt-bp-pi-newword-24 中文新词、rt-bp-dlp-split-25 凭据拆开写 —— 这四条本轮都拦住了。

为什么绕过案例不公开细节：这三类手法（同义改写 / 编码绕过 / 自然语言赋值）一旦连 具体载荷原文一起贴出来，就等于给每个人一份可复制的绕过说明书 —— 而且是对着本平台规则的。 所以这一页公开的是「哪一类手法没挡住」+「用例 id」+「计数」， 载荷原文留在后端仓库的评测集里，规则正则更不公开。 这样仍然可验证：类别给了、id 给了、分母给了，你可以自己造等价载荷去撞同一类边界； 只是这份页面不负责把答案抄给你。

也不开「在线点一下就跑一次评测」：评测接口 POST /api/eval/run 需要登录、 且一旦匿名可达就等于把整个评测集免费开放给攻击者批量试错 —— 自己把自己的评测集变成攻击者的 自动化靶场，是最不该做的一种「透明」。本页只读，不触发任何评测动作。

「期望」一列来自用例定义里的 expectBlocked；「实测」取自这次 run 的逐条 status （BLOCKED / BYPASSED / ALLOWED / MISBLOCKED / SKIPPED）。 27 行加起来：拦住 13、绕过 4、放行 8、跳过 2 = 27。

为什么 09:57 那个 42.11% 不是退步：那是把用例从 19 条扩到 27 条、补进 8 条变形载荷的那一刻。 之前的「0 绕过」不是防得好，是测试集没有区分度；新用例一上，绕过率立刻显形为 42.11%， 随后规则补强把 4 条堵住，降到 21.05%。11:54 之后 blocked 从 15 掉到 13 是因为 2 条模型用例转为跳过（见第 2 块），不是又破了两个洞。

另有 4 次 run（11:54–11:56）数字完全一致，只差平均耗时（0.28–0.36 ms）。 它们不构成「四次独立验证」，同一套代码重跑而已 —— 贴出来只是不挑数据。

预期结论：读不到。三件事同时成立 —— ① /api/eval/* 不在鉴权白名单里（app.auth.white-list 只有 /api/health、/api/playground/check、/api/public/**）， 匿名请求拿不到数据； ② 公网 CORS 只对 /api/public/** 开口（允许来源是本博客的域名）， /api/eval 落在全局 CORS 里，只放行本机 9900 端口 —— 跨源连响应体都读不到； ③ 就算读得到，这一页也不会把估算值补上去。 所以上面的数字版块是 2026-10-11 的历史快照，它们不会因为这次探测而变。

你可以自己复现「读不到」（三条都只读，不会启动评测、不会写任何东西）：

# ① 拉历史 run 列表：预期 401（需登录令牌），或跨源被 CORS 拦掉
curl -s -o /dev/null -w '%{http_code}\n' https://demo.xiaokeqing.cn/api/eval/runs

# ② 对照：同一个源站上的公开端点是什么待遇（200 + JSON）
curl -s https://demo.xiaokeqing.cn/api/public/deploy.js | head -c 200

# ③ 对照：健康端点在白名单里，不需要令牌
curl -s https://demo.xiaokeqing.cn/api/health | head -c 200

①②对比就是这一页的核心证据：同一台机器，公开面读得到、评测面读不到。 评测面不开匿名读取是有意的取舍（见第 4 块），所以这里如实写「读不到」， 而不是拿历史快照假装是实时数据。

公开：用例 id、类别、条数、每条期望与实测状态、拦截/绕过/误报的计数与算式、历次 run 的编号与时间、 绕过手法的类别（同义改写 / Base64 / 中文自然语言）、以及「为什么读不到实时数字」的技术原因。
不公开：任何一条用例的载荷原文、防护规则的正则与阈值、4 条绕过载荷的具体构造、 服务器内部地址与配置细节、以及模型的系统提示词。理由同上：这些是「答案」，公开答案等于送人一把钥匙。
不做的：这一页不跑评测、不发 POST、不读取你的任何输入，也没有任何写操作；它只做两件事 —— 把历史快照摊开、把公开端点探一遍。

数字出处：RedTeamEvalService.buildCases()（27 条用例定义）与 data/eval-runs.json 的 RUN-899985f3.summary / .details。 要复现「平台现在通不通」看 状态页 /status/； 要复现公开端点清单看 接口页 /api/。