정렬된 LLM 내부에서 유해성(harmfulness)과 거부(refusal)가 residual stream의 분리 가능한 방향으로 표현되며, 탈옥(jailbreak)은 토큰 생성 전 프롬프트 인코딩 단계에서 둘 중 하나를 억제해 성공한다는 사실을 규명했다. 흥미롭게도 모델은 입력을 유해로 인식하지 못했더라도 유해 콘텐츠를 생성하는 도중에는 이를 인식한다. 이를 바탕으로 프롬프트·응답 양쪽 위치에서 두 방향을 결합하는 파인튜닝 기법 HARC를 제안했고, 개입을 해당 부분공간에 한정해 일반 능력 저하나 과잉 거부 없이 6개 베이스라인 중 최고의 강건성-능력-사용성 균형을 달성했다. 5개 모델 계열·2개 스케일에 아키텍처별 튜닝 없이 전이된다는 점에서 실용적 안전 정렬 기법으로 주목된다.

• •탈옥은 프롬프트 인코딩 단계에서 거부 또는 유해성 방향을 억제해 성공, 공격 유형별로 유해성-거부 평면의 분리된 영역 점유
• •모델은 입력 판단에 실패해도 유해 콘텐츠를 생성하는 동안에는 유해성을 인식
• •HARC는 프롬프트·응답 위치 모두에서 두 방향을 결합하는 파인튜닝 기법으로, 일반 능력 저하·과잉 거부 없음
• •주요 훈련시·추론시 안전 기법 6개 베이스라인 대비 최고의 강건성-능력-사용성 균형, 5개 모델 계열에 무조정 전이