Das Verfahren optimiert Eingaben darauf, möglichst lange Antworten und viele Zweifelmarker zu erzeugen, ohne eine verbotene Ausgabe zu verlangen. Entwickelt wurde es gegen ein kleines Proxy-Modell; laut Abstract überträgt sich der Angriff auch auf große kommerzielle Systeme.
Die Arbeit ist ein Preprint vom 13. Mai 2026 und misst eine ältere Modellgeneration. Ob aktuelle Modelle mit einstellbaren Anstrengungsstufen robuster sind, untersucht sie nicht; eine unabhängige Reproduktion liegt nicht vor.