LLM은 정교하게 작성된 프롬프트로 안전 정렬을 우회하는 탈옥 공격에 취약하며, 기존 방어는 대부분 모델 가중치나 내부 접근이 필요해 블랙박스 배포에는 적용하기 어렵다. 연구진은 입력 텍스트만으로 작동하고 대상 모델 수정·재학습이 필요 없는 규칙 트리 기반 프롬프트 수준 방어 AlcaTRAz를 제안했다. 선택된 위치에 제어된 문자 단위 교란을 삽입하는 전이 가능한 변환 규칙을 자동 학습해 탈옥 공격이 악용하는 구조적 규칙성을 깨면서도 정상 질의 유용성은 유지한다. 33개 오픈웨이트 모델과 22종 탈옥 공격, 세 가지 대표 기준선(Llama Guard, RA-LLM, Goal Prioritization) 대비 평가에서 모델-공격 조합의 73.4%에서 최고 종합 점수를 기록했고, 무방어 시 최빈 심각도 10점을 방어 후 2점으로 낮추면서 정상 질의 점수는 0.27점만 하락했다. 다만 고심각도 공격이 일부 남아 완전한 해법이 아닌 다층 방어의 한 계층으로 자리매김한다.

• •블랙박스 LLM 배포에도 적용 가능한 규칙 트리 기반 탈옥 방어 AlcaTRAz 제안, 모델 수정·재학습 불필요
• •선택된 위치에 제어된 문자 단위 교란을 삽입하는 전이 가능한 변환 규칙을 자동 학습
• •33개 오픈웨이트 모델·22종 탈옥 공격·3개 기준선 대비 모델-공격 조합의 73.4%에서 최고 성능
• •무방어 시 최빈 심각도 10점을 방어 후 2점(거부 근접)으로 낮추면서 정상 질의 점수는 0.27점만 하락
• •고심각도 공격 잔존, 적응형 공격자는 미고려 — 다층 방어 전략의 한 요소로 위치