XBreaking LLM 탈옥, 설명 가능한 AI를 안전 필터에 맞서 활용하다

XBreaking 연구진은 설명 가능한 AI를 활용해 7개 오픈 웨이트 언어 모델 전반에서 안전 제어 장치를 찾아내고 약화시켰다. 이들의 발견은 방어적 가능성을 보안상의 충돌로 전환한다. XBreaking LLM 탈옥은 모델 내부 신호를 이용해 거부 행동과 연관된 레이어를 식별한다. 이후 성공하는 프롬프트를 무작정 찾는 대신, 그 주변 구성 요소를 표적으로 삼는다.

동료 심사를 거친 이 연구는 2026년 10월 10일 Neural Computing and Applications에 게재됐다. University of Pavia와 Cochin University of Science and Technology 연구진이 이 방법을 개발했다. 이들은 Llama, Qwen, Gemma, Mistral 계열 모델을 시험했다.

이는 말장난으로 챗봇을 속이는 또 하나의 프롬프트가 아니다. XBreaking은 모델 가중치, 은닉 상태, 어텐션 맵 및 기타 내부 정보에 직접 접근할 수 있다고 가정한다. 이 제약은 당장의 위협 범위를 좁히지만, 맞춤화 가능한 오픈 모델을 배포하는 조직에는 더 선명한 경고가 된다.

핵심 충돌은 이제 분명하다. 해석 가능성은 엔지니어가 안전 행동을 이해하고 강화하는 데 도움을 줄 수 있다. 동시에 이 같은 가시성은 해당 행동이 정확히 어디에 집중돼 있는지를 공격자에게 보여줄 수도 있다.

XBreaking LLM 탈옥이 실제로 바꾼 것

XBreaking은 프롬프트 실험을, 정렬된 모델과 제한 없는 모델을 구분하는 내부 구성 요소를 겨냥한 탐색으로 대체한다.

널리 알려진 탈옥 기법 대부분은 챗봇 인터페이스를 통해 작동한다. 공격자는 시스템이 거부를 멈출 때까지 요청의 표현, 구조, 언어 또는 맥락을 바꾼다. 이 과정에는 대개 반복적인 생성과 테스트가 수반된다.

반면 XBreaking은 모델 내부에서 작동한다. 연구진은 안전 조정 모델을 같은 아키텍처 계열의 제한 없는 대응 모델과 비교한다. 이들은 각각을 “검열된” 모델과 “검열되지 않은” 모델이라고 부르지만, 안전 조정 모델과 제한 없는 모델이 더 중립적인 표현이다.

이 비교에는 모델의 내부 결정과 연관된 신호를 드러내는 기법, 즉 설명 가능한 AI가 사용된다. 연구진은 트랜스포머 레이어 전반의 평균 활성화 값과 어텐션 값을 측정한다. 활성화는 내부 계산을 나타내며, 어텐션 값은 처리 과정에서 토큰들이 서로에게 얼마나 강하게 영향을 미치는지를 설명한다.

공개된 연구는 3단계 과정을 보고한다. 먼저 팀은 유해한 입력과 무해한 입력을 사용해 두 버전을 프로파일링한다. 다음으로 통계적 특징 선택 방법이 두 버전을 가장 잘 구분하는 레이어의 순위를 매긴다. 마지막으로 공격은 선택된 레이어 주변의 구성 요소를 교란한다.

이 순서는 해석 가능성을 정찰 수단으로 전환한다는 점에서 중요하다. 이 방법은 모든 파라미터를 동일하게 관련 있는 것으로 취급하지 않는다. 대신 안전 조정이 가장 뚜렷하게 나타나는 작은 내부 영역을 찾는다.

실험은 7개 오픈 웨이트 모델을 다뤘다. 여기에는 Llama 3.2 1B, Llama 3.1 8B, Qwen2.5 0.5B, Qwen2.5 3B, Gemma 2B, Gemma 7B, Mistral-7B-v0.3가 포함됐다.

각 모델에는 동일한 일반 아키텍처와 파라미터 구성을 갖춘 제한 없는 변형 모델이 대응했다. 이 짝 구성은 연구진이 내부 행동을 통제된 방식으로 비교할 수 있게 했다.

평가는 10개 범주에 걸친 유해 행동 100개를 사용했다. 이 범주에는 사기, 허위정보, 악성코드, 개인정보 침해, 괴롭힘, 신체적 피해, 안전하지 않은 전문가 조언이 포함됐다. 연구진은 이들을 관련 주제를 다루는 무해한 행동 100개와 짝지었다.

이 구성은 적대적 프롬프트와 방어 수단을 평가하기 위한 공개 벤치마크인 JailbreakBench 데이터셋에서 가져왔다. 팀은 처음에 공격 없이도 이미 안전하지 않은 답변을 생성한 질문을 제외했다. 이 선택은 기존 실패 사례가 보고된 공격 결과를 부풀리는 것을 방지했다.

따라서 XBreaking은 탈옥의 표적을 바꾼다. 프롬프트는 여전히 관련이 있지만, 더는 최적화의 주된 대상이 아니다. 모델의 내부 안전 시그니처가 표적이 된다.

이 차이는 이 글의 핵심 긴장을 만들어낸다. 측정 가능한 내부 시그니처를 남기는 안전 메커니즘은 연구하기 쉬워진다. 동시에 적대자가 모델을 통제할 때 공격하기도 쉬워진다.

XBreaking이 안전 핵심 레이어를 찾는 방식

연구진은 정렬된 모델과 제한 없는 모델의 차이를 거부 행동이 집중된 위치를 드러내는 지문으로 취급한다.

이 방법은 표준화된 질문을 모델의 두 버전에 모두 입력하는 것으로 시작한다. 모든 레이어의 평균 활성화 값과 어텐션 점수를 기록한다. 연구진이 서로 다른 수치 범위를 가진 신호를 비교할 수 있도록 값은 정규화된다.

이후 특징 선택 과정은 어떤 레이어 수준 측정값이 모델을 안전 조정 또는 제한 없음으로 가장 잘 분류하는지 묻는다. 연구진은 분산 분석 검정을 사용해 해당 특징의 순위를 매긴다. 그리고 유용한 분류 정확도를 제공하는 최소 그룹을 선택한다.

이것이 XBreaking 작동 방식에서 “설명 가능한” 부분이다. 이 방법은 모든 은닉 신호에 직관적인 인간적 의미가 있다고 주장하는 대신, 정렬과 연관된 측정 가능한 차이를 식별한다. 이 차이는 연구진이 어디를 조사하거나 개입해야 하는지 알려준다.

논문은 7개 모델 구성 중 5개에서 90%를 넘는 지문 식별 정확도를 보고한다. Gemma 7B에서는 100% 정확도, Mistral-7B-v0.3에서는 82.5% 정확도를 보고했다. 이는 저자들의 실험 구성 내 분류 결과이지, 모델 안전성의 보편적 척도는 아니다.

추가 시험에서는 모델 활성화를 더 구체적인 내부 특징으로 분해하는 희소 오토인코더를 사용했다. Llama 3.1 8B에서 이 접근법은 100% 분류 정확도에 도달했다. 더 단순한 활성화 및 어텐션 방법은 97.5%에 도달했다.

저자들은 희소 오토인코더가 더 많은 계산 노력을 요구하기 때문에 단순한 방법을 유지했다. 서로 다른 레이어와 아키텍처에는 별도 모델이 필요할 수 있다. 평균 활성화 및 어텐션 통계는 일반적인 순방향 처리 중에 수집할 수 있다.

여러 구성에서 선택된 신호는 제한된 중간 또는 후반부 트랜스포머 레이어 그룹에 나타났다. 논문은 이 영역을 콘텐츠 억제에 중요한 기여를 하는 부분으로 해석한다. 다만 거부 행동과의 상관관계가 완전한 인과적 설명을 제공하는 것은 아니다.

이 레이어를 찾은 뒤 XBreaking은 인접한 정규화 구성 요소의 스케일링 가중치를 수정한다. 레이어 정규화는 내부 신호가 트랜스포머를 통과할 때 그 규모와 분포를 조절한다. 연구진은 이 가중치에 통제된 노이즈를 추가하고 그에 따른 응답을 관찰한다.

공격은 여러 크기에서 양의 교란과 음의 교란을 시험한다. 매우 작은 변화는 종종 효과가 거의 없었다. 더 큰 변화는 일반적인 텍스트 생성을 손상할 수 있었다. 따라서 연구진은 모델을 완전히 손상하지 않으면서 거부를 약화하는 범위를 찾았다.

이 메커니즘은 공격이 일반적인 미세 조정과 다른 이유를 설명한다. 미세 조정은 많은 예시에 걸쳐 광범위한 가중치 집합을 업데이트할 수 있다. XBreaking은 정렬 지문을 이용해 개입 범위를 좁힌다.

원래의 XBreaking 사전 공개본은 2025년 4월에 나왔다. 2026년 저널 버전은 더 폭넓은 평가, 유용성 측정, 전이 실험, 그리고 범위에 대한 더 명시적인 논의를 추가했다.

이 방법은 역방향으로 수행하는 보안 감사와도 닮았다. 방어자는 모델을 비교해 취약한 안전 구성 요소를 찾을 수 있다. 같은 접근 권한을 가진 공격자는 그 결과 지도를 사용해 이를 억제할 수 있다.

설명 가능한 AI가 공격 지도가 되다

XBreaking의 안전성 영향은 트레이드오프에서 비롯된다. 내부 가시성은 감사를 개선하는 동시에 안전 제어 장치를 둘러싼 불명확성을 줄인다.

기계론적 해석 가능성은 모델 행동을 만들어내는 계산을 조사한다. 이는 연구진이 거부, 기만, 편향 및 기타 행동과 연결된 특징, 회로 또는 표현을 찾는 데 도움을 줄 수 있다.

이 목표는 보통 방어적이다. 엔지니어는 모델의 최종 답변만으로 얻을 수 있는 것보다 더 많은 증거를 원한다. 내부 측정은 배포 전에 숨겨진 실패 모드를 드러내거나, 팀이 안전 훈련이 일반화됐는지 시험하는 데 도움이 될 수 있다.

그러나 설명 가능성은 그것이 드러내는 지식에 도덕적 목적을 부여하지 않는다. 안전 핵심 레이어 지도는 강화, 모니터링 또는 복구를 지원할 수 있다. 같은 지도는 선택적 조작을 안내할 수도 있다.

더 폭넓은 해석 가능성 문헌은 이미 인과적 개입을 중요한 시험으로 다룬다. 연구진은 내부 특징을 바꾸고 행동 결과를 조사한다. XBreaking은 이 논리를 적대적으로 적용한다.

연구는 표적 교란이 이전에는 거부하던 모델로 하여금 여러 피해 범주에 걸쳐 안전하지 않은 콘텐츠를 생성하게 했다고 보고한다. 정부 의사결정, 악성코드, 성인 콘텐츠, 괴롭힘, 전문가 조언은 더 취약한 영역에 포함됐다.

연구진은 여러 주석자의 수동 검토를 통해 초기 실험을 평가했다. 주석자들이 분류에 만장일치로 동의한 응답만 포함했다. 이후 실험에서는 더 많은 응답을 자동으로 평가하기 위해 Llama Guard 3를 사용했다.

이 전환은 규모를 개선하지만 또 다른 불확실성의 원천을 도입한다. 자동화된 안전 분류기는 미묘한 콘텐츠에 잘못된 라벨을 붙일 수 있다. 그 판단은 배포 조직의 정책과 다를 수 있는 범주와 임계값에도 의존한다.

저자들은 수정된 모델이 일반적인 역량을 유지했는지도 측정했다. HellaSwag와 TruthfulQA의 출력을 비교하고 MMLU에서 답변 일치도를 측정했다. 보고된 결과는 여러 모델이 원래 행동의 상당 부분을 보존했음을 보여준다.

보존 정도는 고르지 않았다. 논문에 따르면 대부분의 구성은 생성 평가에서 60%를 넘는 코사인 유사도를 기록했다. 일부는 75%를 넘었다. 보고된 구성에서 Mistral-7B-v0.3는 MMLU에서 92%가 넘는 일치도를 유지했다.

다른 결과는 훨씬 약했다. Gemma 7B는 보고된 시험에서 45.3~51.9%의 코사인 유사도를 보였다. MMLU 일치도는 29~48% 범위였다. Qwen2.5 3B도 일부 설정에서 비교적 낮은 일치도를 기록했다.

이 차이는 안전 레이어를 깔끔하게 제거할 수 있다는 모든 주장에 복잡성을 더한다. XBreaking은 때때로 유용한 행동을 보존했지만, 모델 계열 전반에서 일관되지는 않았다. 거부 우회에 성공하더라도 모델은 눈에 띄게 성능이 저하될 수 있다.

더 깊은 교훈은 해석 가능성이 해로워졌다는 것이 아니다. 보안 연구는 약점을 드러내는 기술을 일상적으로 공개한다. 교훈은 설명 가능성이 접근 제어, 무결성 검사 및 다층 안전장치와 함께 개발돼야 한다는 점이다.

운영상의 보호 장치 없는 투명성은 공격 표면을 노출할 수 있다. 해석 가능성 없는 비밀주의는 방어자에게 실패를 감출 수 있다. 오픈 모델 개발자는 이제 두 위험을 모두 관리해야 한다.

오픈 웨이트 모델 배포자가 가장 큰 압박에 직면하다

XBreaking은 호스팅형 상용 챗봇 사용자보다 오픈 웨이트 모델을 내려받아 수정, 미세 조정 또는 재배포하는 팀에 주로 압박을 가한다.

이 공격은 내부 모델 파라미터와 계산을 직접 볼 수 있는 화이트박스 접근을 요구한다. 일반적인 챗봇 인터페이스와 상호작용하는 사용자는 이러한 접근 권한을 받지 못한다. 공개된 방법에는 프롬프트 접근만으로는 충분하지 않다.

저자들은 GPT-4, Claude, Gemini를 자신들의 주장 대상에서 명시적으로 제외한다. 이러한 상용 시스템은 다운로드 가능한 모델 가중치가 아니라 통제된 인터페이스를 제공한다. 또한 제공업체는 핵심 모델 주변에 별도의 입력 필터, 출력 분류기, 악용 모니터링을 둘 수 있다.

이 한계 때문에 XBreaking이 모든 주요 AI 서비스의 안전장치를 무력화할 수 있다고 직접 결론 내릴 수는 없다. 논문의 위협 모델에서는 원격 애플리케이션 프로그래밍 인터페이스에 동일한 기법을 적용하는 것이 기술적으로 불가능하다.

오픈 웨이트 배포는 다른 보안 경계를 제시한다. 모델 소유자, 악의적인 내부자, 침해된 파이프라인 또는 신뢰할 수 없는 배포자가 배포 전에 가중치를 수정할 수 있다. 그러면 조직은 겉으로 보이는 정체성이 더 이상 실제 안전 동작을 반영하지 않는 모델을 받게 될 수 있다.

이 위험은 의료, 정부, 금융 또는 보안 환경에서 운영되는 프라이빗 AI 시스템에 중요하다. 로컬 배포는 민감한 데이터에 대한 통제력을 높일 수 있다. 동시에 모델 무결성에 대한 책임을 중앙 제공업체에서 고객에게 이전할 수도 있다.

팀은 전문 워크플로를 위해 오픈 모델을 자주 파인튜닝한다. 이전 연구에서는 개발자가 안전장치를 제거할 의도가 없더라도 맞춤형 파인튜닝이 안전 정렬을 약화시킬 수 있음을 보여줬다. XBreaking은 여기에 더 의도적이고 표적화된 경로를 추가한다.

따라서 핵심 대립 구도는 오픈 모델 대 폐쇄형 모델이 아니다. 투명한 안전 엔지니어링과 승인된 맞춤화 이후에도 신뢰성을 유지하는 안전성의 문제다. 조직에는 전자가 필요하지만, 그것이 후자를 보장한다고 가정해서는 안 된다.

모델 출처는 특히 중요해진다. 팀은 가중치의 출처, 적용된 어댑터, 승인 이후 내부 파라미터가 변경됐는지를 알아야 한다. 기존 소프트웨어 인벤토리만으로는 이러한 변환을 완전히 포착할 수 없다.

무결성 검증은 최종 모델 아티팩트도 포괄해야 한다. 해시는 파일 변경 여부를 드러낼 수 있지만, 팀이 신뢰할 수 있는 참조본을 유지하는 경우에만 가능하다. 행동 테스트는 실패를 포착할 수 있지만, 좁은 테스트 세트는 표적화된 변경을 놓칠 수 있다.

지속적인 평가는 더 강력한 접근법을 제공한다. 팀은 파인튜닝, 양자화, 병합 또는 포맷 변환 이후 정책별 테스트를 다시 실행할 수 있다. 개발자가 공격을 시도하지 않더라도 이러한 작업은 모델 동작을 바꿀 수 있다.

엔지니어링 조직에서는 이것이 문서화 과제이기도 하다. 테스트 결과, 모델 버전, 어댑터, 승인 결정은 계속 연결되어 있어야 한다. 검색 가능한 엔지니어링 지식 베이스는 팀이 릴리스 전반에 걸쳐 이러한 증거를 보존하는 데 도움이 될 수 있다.

계층형 안전장치는 여전히 필요하다. 모델 수준의 정렬은 하나의 통제 수단일 뿐이기 때문이다. 입력 검사, 출력 모더레이션, 제한된 도구 권한, 로깅, 사람의 검토는 침해된 모델이 초래할 결과를 제한할 수 있다.

XBreaking LLM 탈옥이 이러한 통제를 쓸모없게 만드는 것은 아니다. 다만 조직이 모델의 거부 동작을 가중치의 영구적 속성으로 취급해서는 안 되는 이유를 보여준다.

증거가 입증하지 못하는 것

이 결과는 실제 화이트박스 취약점을 드러내지만, 프로덕션 AI 시스템을 위한 범용 탈옥을 입증하지는 않는다.

첫 번째 한계는 모델 범위다. 실험은 네 개 패밀리의 일곱 가지 오픈 웨이트 구성만 다룬다. 이는 유용한 교차 모델 테스트이지만, 2026년에 이용 가능한 모델 중에서는 여전히 작은 일부에 불과하다.

테스트된 모델의 규모도 5억에서 80억 파라미터에 이른다. 논문은 더 큰 계열 모델로의 전이를 탐구하지만, 직접적인 증거는 여전히 더 작은 구성에 집중되어 있다. 프런티어급 아키텍처는 안전 동작을 다르게 분산시킬 수 있다.

두 번째 한계는 제한 없는 참조 모델과 관련된다. XBreaking은 공격자가 비교를 위한 밀접하게 일치하는 대응 모델을 보유할 때 가장 잘 작동한다. 이 짝은 정렬 차이를 더 쉽게 분리할 수 있게 한다.

저자들은 더 작은 계열 모델 또는 새롭게 파인튜닝한 제한 없는 버전이 대체 참조가 될 수 있다고 주장한다. 이들의 전이 실험은 일치하는 쌍과 비교해 일관성이 낮아졌다고 보고했다. 이러한 손실은 실용적 신뢰성을 평가할 때 중요하다.

세 번째 한계는 모델 정렬과 배포 필터의 차이다. XBreaking은 내부의 거부 동작을 수정한다. 그러나 프로덕션 시스템은 별도의 분류기를 통해 요청이나 응답을 계속 차단할 수 있다.

더 광범위한 안전 파이프라인을 다룬 2025년 연구는 입력 및 출력 필터를 포함할 경우 탈옥 효과가 낮아질 수 있음을 발견했다. 해당 연구는 많은 모델 수준 공격이 테스트된 필터 가운데 적어도 하나에는 탐지될 수 있다고 결론지었다.

이것이 XBreaking을 무효화하는 것은 아니다. 평가 단위를 바꿀 뿐이다. 특히 개발자가 핵심 모델의 거부 동작에 의존하는 경우, 핵심 모델을 무너뜨리는 것은 심각하다. 그렇다고 유해한 콘텐츠가 자동으로 최종 사용자에게 도달한다는 뜻은 아니다.

네 번째 한계는 유용성 보존이다. 이 공격은 일반적인 생성 능력을 유지하면서 제한을 제거하려 한다. 논문 자체의 벤치마크 결과는 일부 모델에서 의미 있는 성능 저하를 보여준다.

이는 방어자가 활용할 수 있는 관측 가능한 신호를 만든다. 침해된 모델은 무해한 테스트, 추론 평가 또는 회귀 테스트 스위트에서 답변이 달라질 수 있다. 가장 강력한 공격은 이러한 차이를 최소화하겠지만, 이 연구는 완벽한 은폐를 보여주지 않는다.

다섯 번째 한계는 인과적 해석과 관련된다. 높은 분류 정확도는 선택된 내부 특성이 모델 변형을 구별한다는 점을 보여준다. 하지만 모델이 안전 개념을 어떻게 표현하는지, 또는 모든 거부가 왜 발생하는지를 완전히 설명하지는 못한다.

평균 레이어 통계는 더 구체적인 회로, 토큰 효과, 상호작용을 가릴 수 있다. 희소 오토인코더 결과는 더 풍부한 표현이 분석을 정교화할 수 있음을 시사한다. 동시에 아직 알려지지 않은 부분이 많다는 점도 강조한다.

마지막으로, 연구의 유해성 판단은 사람과 자동화된 분류기에 의존한다. 안전성 평가는 순전히 기계적인 절대 기준이 아니다. 정책 경계는 제공업체, 국가, 산업, 배포 맥락에 따라 다르다.

따라서 적절한 결론은 신중해야 한다. XBreaking은 안전 튜닝이 발견 가능하고 조작 가능한 내부 패턴을 남길 수 있다는 증거를 제공한다. 모든 안전장치가 제거 가능한 하나의 스위치에 집중돼 있음을 보여주지는 않는다.

방어 체계가 따라잡고 있는지 보여줄 세 가지 신호

다음 단계는 독립적 재현, 무결성 방어, 완전한 배포 파이프라인을 대상으로 한 테스트에 의해 결정될 것이다.

첫 번째 신호는 더 큰 오픈 웨이트 모델 전반에서의 재현이다. 연구자들은 동일한 레이어 선택 방법이 최신 아키텍처와 훨씬 큰 파라미터 규모에서도 작동하는지 테스트해야 한다. 필요한 컴퓨팅 자원도 측정해야 한다.

재현에 성공하면 정렬 지문이 아키텍처 계열을 따른다는 주장이 강화된다. 실패한다면 공개된 효과가 특정 모델, 쌍 구성 또는 평가 선택에 더 크게 의존한다는 뜻일 수 있다.

가장 유익한 연구는 공격 결과와 유용성 결과를 모두 공개할 것이다. 일반적인 모델 성능이 무너진다면 높은 공격 성공률의 의미는 줄어든다. 방어자에게는 변조된 모델이 일상적인 회귀 테스트를 회피할 수 있는지도 보여주는 측정치가 필요하다.

두 번째 신호는 모델 내부를 모니터링하거나 승인된 가중치를 검증하는 방어책의 등장이다. 개발자는 활성화 패턴을 테스트하고, 모델 아티팩트를 보호하며, 맞춤화 이후 안전에 민감한 구성 요소를 비교할 수 있다.

유용한 방어책은 일반적인 배포 변경에도 견뎌야 한다. 양자화, 어댑터 병합, 프루닝, 포맷 변환은 수치 값을 바꿀 수 있다. 무결성 시스템은 예상된 변환과 악의적 개입을 구분해야 한다.

해석 가능성은 이 방어의 일부가 될 수 있다. 공격 대상을 선택하는 데 쓰인 동일한 지문은 비정상적인 내부 동작을 식별할 수도 있다. 연구자들은 활성화 모니터링이 허용할 수 없는 지연 시간을 초래하지 않으면서 교란을 감지하는지 테스트해야 한다.

세 번째 신호는 전체 애플리케이션 스택을 대상으로 한 평가다. 향후 연구는 수정된 모델을 입력 필터, 출력 분류기, 도구 제한, 사람에 의한 에스컬레이션 규칙과 결합해야 한다. 이를 통해 XBreaking이 모델 수준의 약점을 만드는지, 아니면 엔드투엔드 실패를 일으키는지 알 수 있다.

계층형 시스템도 모든 구성 요소가 비슷한 가정에 의존한다면 실패할 수 있다. 출력 필터는 간접적인 표현을 사용한 유해 콘텐츠를 놓칠 수 있다. 도구 제한은 실행을 막더라도 위험한 지침의 노출은 막지 못할 수 있다.

따라서 독립적인 레드팀은 거부 동작만이 아니라 결과를 테스트해야 한다. 수정된 모델이 데이터에 접근할 수 있는지, 소프트웨어를 호출할 수 있는지, 또는 중요한 의사결정에 영향을 미칠 수 있는지를 물어야 한다. 이러한 결과는 단일 안전하지 않은 텍스트 분류보다 더 중요하다.

개발자와 엔터프라이즈 구매자는 모델 문서도 주시해야 한다. 안전 보고서는 평가가 파인튜닝, 양자화, 배포 패키징 전후 중 언제 이루어졌는지 명시해야 한다. 손대지 않은 기본 모델의 결과만으로는 모든 맞춤형 파생 모델을 설명할 수 없다.

XBreaking LLM 탈옥은 모델 안전성을 영구적인 기능이라기보다 유지·관리해야 하는 보안 속성처럼 보이게 한다. 이러한 변화는 조달, 배포, 지속적인 테스트에 영향을 미쳐야 한다.

오픈 모델을 사용하는 팀은 지금 현재의 안전장치를 목록화해야 한다. 어떤 통제는 모델 내부에 있고, 어떤 통제는 모델 주변에서 독립적으로 작동하는가? 조직은 변조된 모델이 프로덕션에 도달하기 전에 탐지할 수 있는가?

이 질문들은 실용적인 출발점을 제공한다. 설명 가능성은 모델이 어떻게 결정을 내리는지를 계속 드러낼 것이다. 가장 큰 혜택을 얻는 조직은 그러한 설명이 밝혀내는 대상까지 보호하는 조직이 될 것이다.