Un benchmark composito è un punteggio costruito a partire da più test, categorie o sotto-metriche, di solito combinati con dei pesi. Invece di misurare una sola cosa, unisce diversi controlli in un unico numero, come accuratezza, latenza, robustezza o tasso di errore. Nella sicurezza informatica, i benchmark compositi sono comuni quando i team confrontano strumenti, modelli o controlli che devono funzionare bene in diversi scenari di minaccia.
Questi benchmark sono importanti perché possono semplificare confronti complessi, ma possono anche nascondere compromessi. Un prodotto può ottenere un buon punteggio complessivo pur fallendo in una categoria critica, come il rilevamento di malware o la resistenza alla prompt injection. Attaccanti e fornitori possono cercare di manipolare il risultato ottimizzando per la combinazione di test pubblicata invece che per le condizioni reali. I difensori usano i benchmark compositi con attenzione: esaminano i test componenti, la ponderazione e la cronologia delle versioni, poi convalidano i risultati con i propri test di sicurezza. Un punteggio composito è utile, ma non dovrebbe mai sostituire una verifica indipendente.