Penelitian menunjukkan bahwa layanan model bahasa besar yang mengandalkan pertahanan stateful untuk menghentikan serangan dekomposisi tetap rentan ketika penyerang menggunakan identitas yang tidak dapat ditautkan dan mekanisme coba ulang. Studi membuktikan bahwa tanpa sinyal pengelompokan yang andal untuk permintaan benigna, pertukaran keamanan-utilitas runtuh karena umpan balik memungkinkan penyerang mempelajari kueri mana yang lolos.
Eksperimen pada 91 tugas yang dapat dieksekusi dan 11.393 permintaan benigna yang cocok dengan kemampuan menunjukkan bahwa semua sepuluh kebijakan yang diuji gagal menghentikan serangan atau melebihi anggaran penolakan di bawah batas ketat.
Kesuksesan serangan mencapai setidaknya 99% setelah satu percobaan dan 100% setelah dua percobaan pada keluarga tugas yang tidak terlihat oleh pertahanan, menunjukkan bahwa pertahanan yang efektif memerlukan bukti pengelompokan tambahan seperti tautan identitas atau biaya untuk identitas baru.