本文针对大语言模型的自检查防御机制提出了一种组合攻击方法。自检查防御要求目标模型在回答前先评估请求是否具有攻击性，其中SAGE被报告具有平均99%的防御成功率。作者发现，将两种已知攻击——代码补全编码和最佳N搜索——组合起来，可以突破SAGE。单独使用时，这两种攻击在未防御模型上的成功率均不超过4.7%，但组合后，在三个开放目标模型上分别达到67%、22%和15%的绕过成功率，并且即使面对70B参数的大规模目标，效果依然存在。作者并未止步于实证，而是进一步解释了该组合有效的机理。首先，自检查防御的“强度”其实源自目标模型自身：SAGE本身并不直接检测攻击，而是让目标模型自己判断，而不同目标模型将该请求转化为明确拒绝的概率在32%至97%之间，这直接导致了最终防御覆盖率的差异，尽管在无防御情况下各模型的固有拒绝率几乎相同。其次，哪种攻击能成功取决于防御的具体类型：面对变换类防御时，代码编码攻击比字符搜索保留更多未防御时的攻击效能；而面对门控类防御时，顺序则发生反转。作者用攻击向防御决策边界传递的独立探测次数来解释这一现象。此外，论文还报告了自身实现中一个有效性缺陷：在贪婪解码下，确定性攻击没有任何最佳N变异通道，并提供了一行诊断代码来检测该问题。全部结论基于31万次生成，并使用经人类验证的评判器进行评估。