이 연구는 LLM 탈옥(jailbreak) 공격 평가가 공격 예산을 고려하지 않은 채 공격성공률(ASR)만 비교해 불공정한 비교를 낳는다는 문제를 지적하고, 타깃 모델 호출 횟수를 기준으로 삼는 Fair-ASR 평가 프로토콜을 제안했다. 11개 대표 공격 기법을 동일 예산 하에서 재평가한 결과 예산에 따라 순위가 크게 달라졌고, 단순한 무작위 변형이나 손수 제작한 템플릿이 동일 접근 조건에서도 여전히 경쟁력이 있었으며, 평가한 어떤 LLM 기반 공격도 타깃·공격자 호출 양쪽에서 효율적이지 않았다. 이런 효율성 격차에 착안해 개발한 ReCode는 저비용 요소들을 조합한 공격으로, 타깃 호출 20회 예산 내에서 GPT-5에 85%의 ASR을 달성하면서 요청당 평균 7.19회의 공격자 호출만 필요로 했다.

• •타겟 호출 횟수 기준의 Fair-ASR 프로토콜로 예산 미고려 비교 문제 해결
• •11개 대표 탈옥 공격 재평가 결과 예산에 따라 순위가 크게 변동
• •단순 무작위 변형·수제 템플릿도 동일 예산에서 여전히 경쟁력 확인
• •ReCode는 타겟 호출 20회로 GPT-5에 ASR 85% 달성, 공격자 호출도 저비용