이 논문은 모바일 GUI 에이전트의 프롬프트 수준 정렬(alignment) 방어가 단일 턴의 명시적 유해 요청이라는 좁은 평가 조건에서만 작동하는 "국소적 현상"임을 밝힌다. 화면 기반 사용자 측 설득을 이용한 세 개의 최신 GUI 에이전트에 대한 짝비교 진단 실험에서, 한 줄짜리 가드레일은 단발성 공격 성공률(ASR)을 최대 약 40포인트 낮추면서도 과도한 거부 비용은 거의 없었다. 그러나 독립적인 단발 시도에서 4턴 에스컬레이션 체인으로 전환하면 모든 모델에서 가드된 ASR이 약 20포인트 상승했으며, 이러한 증가는 Qwen에서는 가드레일 자체의 상당한 침식을 반영하지만 Claude와 GPT에서는 방어와 무관한 동적 위험 요인으로 나타났다. 가드레일이 있을 때는 은폐된 요청이 명시적 요청보다 더 성공적인 반면 가드레일이 없을 때는 그렇지 않다는 현저성 격차의 역전 현상도 발견돼, 방어가 의도가 명시될 때만 작동한다는 것과 정적 단일 턴 ASR이 실제 배포 시 견고성을 체계적으로 과대평가한다는 점을 보여준다.

• •프롬프트 수준 정렬 방어는 단일 턴·명시적 유해 요청이라는 좋은 조건에서만 작동하는 국소적 현상임을 지적
• •한 줄 가드레일은 단발 공격 성공률을 최대 약 40포인트 줄이면서도 과도 거부 비용은 거의 없음
• •4턴 에스컬레이션 체인으로 전환 시 모든 모델에서 가드된 ASR이 약 20포인트 상승
• •Qwen은 가드레일 침식이, Claude와 GPT는 방어와 무관한 동적 위험이 증가 원인으로 분석됨
• •가드레일 유무에 따라 은폐된 요청과 명시적 요청의 성공률 순위가 역전되는 현상 발견