Un indice composito è un punteggio costruito combinando diverse valutazioni in un unico numero. Invece di affidarsi a un singolo benchmark o test, aggrega più misurazioni, spesso con pesi, per offrire un confronto più ampio tra i sistemi.
Nel campo della sicurezza informatica, gli indici compositi sono importanti perché possono semplificare la valutazione del rischio o delle prestazioni, ma possono anche nascondere delle debolezze. Un modello, uno strumento o una piattaforma può ottenere un buon punteggio complessivo pur fallendo in un'area specifica rilevante per la sicurezza, come la gestione dei dati, la resistenza al prompt injection o i controlli operativi. I difensori utilizzano il punteggio composito per confrontare i fornitori, stabilire le priorità di hardening e monitorare la postura nel tempo. Gli aggressori possono sfruttare l'eccessiva fiducia nel numero in evidenza, sapendo che una media elevata può mascherare un'implementazione fragile. Per questo motivo, un indice composito dovrebbe guidare l'analisi, non sostituire i test nell'ambiente esatto.