breakinglog
TypeSafe의 판단형 AI Jev를 프롬프트 주입과 탈옥 탐지에 실제로 쓰면 어느 정도일까요? Jev를 네 가지 전용 탐지 모델과 같은 데이터로 비교한 새 테스트가 공개됐습니다. 비교 규모는 단일 메시지 7,803건과 다중 대화 296개입니다.
결과는 한쪽으로 깔끔하게 끝나지 않았습니다. 선별한 벤치마크에서는 Jev가 가장 높은 AUC를 기록했지만, Reddit, Discord, Gandalf 등에서 모은 실제 공격 풀을 합치면 ProtectAI v2와 PIGuard에 밀려 3위였습니다. Jev가 어떤 방식으로 답을 내는 모델인지부터 보고 싶다면 기존 Jev 소개 글에서 구조를 먼저 확인할 수 있습니다.
선별 벤치마크에서는 Jev가 앞섰습니다
작성자는 Jev, PIGuard, Meta의 Prompt Guard 2 86M, ProtectAI v2, deepset에 같은 문자열을 넣고 같은 방식으로 점수를 계산했습니다. 선별 세트는 총 1,688건으로, 프롬프트 공격과 정상 문장을 섞고 정상 문장인데도 “ignore”, “override” 같은 공격 키워드가 들어간 NotInject도 포함했습니다.
이 세트에서 Jev의 AUC는 0.937로 가장 높았습니다. PIGuard는 0.929, Prompt Guard 2는 0.870이었습니다. 정상 문장의 5%까지만 오탐하도록 각 탐지기의 기준을 맞췄을 때 공격 탐지율도 Jev 74.4%, PIGuard 73.9%, Prompt Guard 2 68.3%로 Jev가 근소하게 앞섰습니다.
| 평가 | Jev | PIGuard | ProtectAI v2 |
|---|---|---|---|
| 선별 1,688건 AUC | 0.937 | 0.929 | 0.799 |
| 실제 공격 풀 6,115건 AUC | 0.844 | 0.866 | 0.882 |
| 실제 공격 풀, 오탐 5%에서 탐지율 | 19.9% | 51.7% | 58.8% |
실제 공격 풀에서는 오히려 3위였습니다
두 번째 평가는 WildJailbreak, 과거 Reddit과 Discord 등에 올라온 탈옥 프롬프트, Lakera Gandalf 참가자들의 실제 시도를 합친 6,115건입니다. 여기서는 ProtectAI v2의 AUC가 0.882로 가장 높았고 PIGuard가 0.866, Jev가 0.844였습니다.
특히 정상 문장을 잘못 막는 비율을 5%로 제한했을 때 Jev의 공격 탐지율은 19.9%였습니다. 같은 조건에서 ProtectAI v2는 58.8%, PIGuard는 51.7%였습니다. 반대로 가장 최신 공격 세트인 WildJailbreak만 따로 보면 Jev가 다른 네 모델보다 크게 앞섰습니다. 즉 “Jev가 보안 탐지에서 항상 1위”도, “전용 모델보다 항상 약하다”도 이 결과만으로는 맞지 않습니다.
작성자는 오래된 공격 세트가 전용 탐지 모델의 학습 데이터에 들어갔을 가능성도 의심해 표면 표현을 기계적으로 바꿔 다시 테스트했습니다. 하지만 성능이 무너지지 않아 학습 데이터 중복을 입증하지 못했다고 명시했습니다. 오래된 세트에서 Jev가 진 결과도 그대로 받아들여야 한다는 결론입니다.
다중 대화 100% 탐지는 숫자 그대로 보면 안 됩니다
다중 대화 296개 평가에서는 Jev가 공격 대화 146개를 모두 잡았다는 결과가 나왔습니다. 하지만 146개 공격 대화가 같은 첫 문장 하나를 공유했습니다. 작성자도 “146개를 독립적으로 잡은 것이 아니라 같은 메시지 하나가 반복된 것”이라고 직접 제한점을 적었습니다.
기준을 더 높여도 Jev가 0.30에서 97.9%, 0.50에서 87%를 잡고 정상 대화 오탐은 0%였지만, 공격 방식 자체가 한 가지 템플릿에 치우쳐 있습니다. 따라서 이 수치를 “모든 다중 턴 공격을 거의 다 막는다”는 근거로 쓰기는 어렵습니다.
더 중요한 건 Jev의 숫자를 그대로 확률처럼 쓰면 안 된다는 점입니다
TypeSafe는 Jev의 핵심 특징으로 보정된 확률과 신뢰도를 내세우고, 공식 발표에서 보안 가드레일과 탈옥 탐지를 실제 사용 사례로 제시합니다. 그런데 이번 테스트에서는 Jev가 0.7~0.9를 준 항목 가운데 실제 공격 비율이 선별 세트에서는 21.5%, 실제 공격 풀에서는 84.2%였습니다.
이 차이는 데이터에서 공격이 차지하는 비율과 입력 분포가 크게 달라진 영향도 있습니다. 따라서 “0.8이면 언제 어디서나 80% 확률로 공격”이라고 읽기보다, 자기 서비스의 실제 트래픽으로 임계값을 다시 맞춰야 한다는 쪽이 안전합니다. 이번 테스트의 작성자도 Jev 점수는 순위를 매기는 신호로 쓰고, 운영 데이터에서 기준값을 튜닝하라고 권합니다.
비용은 작았지만 네트워크 왕복은 남습니다
6,115건을 Jev로 평가한 API 비용은 총 0.17달러였고, 순차 호출 40회의 중앙 응답 시간은 211ms였습니다. 로컬 CPU에서 돌린 네 전용 탐지기는 항목당 86~93ms였습니다. 다만 전체 실행 시간은 Jev가 6개 API 호출을 병렬로 돌렸고 로컬 모델은 단일 프로세스로 측정돼 직접적인 속도 비교로 보면 안 됩니다.
실제로 가드레일에 Jev를 넣는다면 비용보다 중요한 건 오탐 허용 수준과 네트워크 왕복 시간, 그리고 자기 트래픽에서 정한 임계값입니다. 권한, 결제, 삭제 같은 결정적 보안 규칙은 확률 모델 하나에 맡기지 않고 코드 수준의 제한과 함께 두는 편이 맞습니다.
출처: Jev Jailbreak Benchmark, TypeSafe Jev 공식 발표, PIGuard 논문, Meta Prompt Guard 2 문서
