**Out-of-domain.** Table 2 shows the results when using prompts that are significantly different than the training distribution both in length and in content. For these domains, the model is significantly better than few-shot and jailbreaking on the RLHF model. With the chat model, we also observe that the jailbreak strings are especially ineffective on the Anthropic HH dataset, which contains a large amount of toxic content; this indicates that the chat model is less likely to obey the user's request when toxic content is present in the prompt. For the raw model, the inversion approach is a bit worse than jailbreaking on BLEU.
**Out-of-domain.** 표 2는 길이와 내용 모두에서 학습 분포와 크게 다른 프롬프트를 사용했을 때의 결과를 보여줍니다. 이러한 도메인의 경우 모델이 few-shot과 jailbreaking보다 RLHF 모델에서 훨씬 더 우수합니다. 채팅 모델의 경우, 독성 콘텐츠가 많이 포함된 Anthropic HH 데이터 세트에서 jailbreak 문자열이 특히 비효율적이라는 것을 관찰할 수 있습니다. 이는 독성 콘텐츠가 프롬프트에 있을 때 채팅 모델이 사용자의 요청을 따를 가능성이 낮다는 것을 나타냅니다. 원시 모델의 경우, inversion 접근 방식은 BLEU에서 jailbreaking보다 약간 더 나쁩니다.
**도메인 외**. 표 2는 길이와 내용 모두에서 학습 분포와 크게 다른 프롬프트를 사용했을 때의 결과를 보여줍니다. 이러한 도메인의 경우 모델이 몇 번의 샷과 옥중에서 벗어남보다 RLHF 모델에서 훨씬 더 우수합니다. 채팅 모델의 경우, 독성 콘텐츠가 많이 포함된 Anthropic HH 데이터 세트에서 탈옥 문자열이 특히 비효율적이라는 것을 관찰할 수 있습니다. 이는 독성 콘텐츠가 프롬프트에 있을 때 채팅 모델이 사용자의 요청을 따를 가능성이 낮다는 것을 나타냅니다. 원시 모델의 경우, 반전 접근 방식은 BLEU에서 탈옥보다 약간 더 나쁩니다.