🧒 初中生也能看懂的版本
① 研究背景（为什么要做？）
过去几年，各国陆续用法律把商业平台制造的智能危害纳入监管。欧盟推出了数字服务法和人工智能法，英国也通过了在线安全法。这些规则的共同前提是：造成危害的系统由一个能被本国法律约束的商业机构运营。可是最严重的一类危害恰好不满足这个前提——由国家部署、能自己挑选目标和手段的网络武器，对着医院、电网、金融系统这类民用设施下手。它造成的伤害和平台制造的伤害在结构上几乎一样，却同时被两套规则漏掉。战争法写在人工智能大规模出现之前，默认每一次攻击都由人按下按钮；平台监管则只管企业，管不到国家。两条线在这里交叉出一个空档，而现实中已经有例子：多年前的一次勒索式攻击波及六十多个国家，损失以百亿美元计，没有任何国家被追责；另一场渗透在美国关键基础设施里潜伏了至少五年，也没有任何国际机制被启动。
② 研究问题（要回答什么？）
这篇论文要回答的是：为什么现有的两套治理规则都接不住国家部署的自主网络武器，以及需要补上什么才能真正把责任落到具体一方。作者把问题拆成三层。第一层是分类，什么样的系统才算自主网络武器，它会造成哪几类民用危害。第二层是度量，用一个可以打分的指标衡量人类对系统的实际控制程度，并给出一条及格线。第三层是制度，设计一套可以直接写进条约的问责条款，让部署国承担国家责任，而不是只去追个人的刑事责任。作者特别说明，归因——也就是把攻击追溯到某个国家——是整个框架的前提而不是贡献，他们把它当作一个待解决的外部条件，并且指出真正难查的案子只会让缺口更大而不是更小。
③ 研究方法（怎么做的？）
作者的办法是先把概念钉死，再给一把可以量化比对的尺子，最后拿真实案例去校准它。他们给出两个定义：一个是自主网络武器，指在国家划定的授权范围内能自己挑目标、自己选手段、不需要人对每一次行动实时点头的系统；另一个是数字危害，按基础设施、民主、金融、医疗、供应链五类来分，每一类带一个零到一的严重度和地理范围。两相一乘就得到六种作战模式对五类危害的分类表。接着是核心指标，把人类控制拆成五个维度分别打分：对系统的理解、对行为的预测、能不能实时叫停、有多少干预时间、事后能不能审计。五个分数加权求和，权重依次是四分之一、四分之一、十分之三、十分之一、十分之一。再根据战争法的比例原则和区分原则反推出一条及格线。最后，作者另外让三个大语言模型在看不到论文的情况下独立打分，检验这套尺子是否说清楚到了别人也能照着用的程度。
④ 结果（发现了什么？）
把尺子架到真实案例上，结果是清一色的不及格。十一起被公开归因的国家级网络行动，得分全部落在零点一九到零点六六之间，其中分数最高的是那起长期潜伏在美国关键设施里的渗透行动。得分最低的是一起在引爆前就被拦下的行动。真正卡住所有案例的是同一个维度——有没有实时叫停的能力，十一起里这一项没有一个超过零点六一。与之对照，作者虚构了一套治理最完善的防御系统，各项分数在零点八五以上，总分零点九一。有意思的是，及格线本身不是固定数字：目标越接近纯民用，线就越高。对混合目标，这条线在零点八八附近，虚构系统刚好过线；对医院、水厂、电网这类纯民用目标，线升到零点九八，连虚构系统也过不去。另有三个案例被作者主动排除，理由是自主性或归因条件不成立，作者把这当作框架有区分力的证据。
⑤ 讨论（这些发现说明什么？）
作者对自己这套东西的可靠性做了相当坦白的三重检验。第一重是稳健性：把最关键的那个权重在零点一五到零点四五之间来回扫，及格线的移动不超过零点零三；把比例参数从五换到五十，结论也不变；去掉任何一个维度，所有案例的判定照样不变。第二重是扰动：给所有案例统一加分，负结论要加零点二一五才会被推翻，而正结论只要减零点零三五就站不住。也就是说，证明“不合格”很稳，证明“可以合格”很脆。第三重是独立复现：作者让三个大语言模型在看不到论文的情况下各自打分，一致性极高，但它们的打分比作者更严厉，最高案例只给到零点三七，而虚构的合格系统被压到零点八上下，掉出了及格线。作者据此承认，框架识别不合格的能力可以复现，但它唯一那个合格的例子不能复现。此外还有一条未解的矛盾：防御性系统为了速度往往故意不留人工叫停口，按这把尺子反而会被判低分。
⑥ 结论（最终结论 + 启示）
论文最后落到制度设计上，提出三条可以单独采纳的建议。第一条要求缔约国对任何符合自主网络武器定义的系统做战前法律审查，审查小组里必须有独立的智能治理专家和战争法专家，结论在系统具备作战能力后三个月内交存红十字国际委员会。第二条给出一段可以直接写进条约的条款文字，把责任挂在国家身上，走的是国家责任条款第四条而不是第八条——只要是国家机关部署的，行为就归国家，不必去追查具体那一次行动有没有人参与。第三条要求涉及民用目标类别的部署必须经过立法机关授权，而不是行政机关一纸命令。三条都强调可以先由愿意的国家单边试行，不必等全球条约谈成。作者也承认，权重和阈值都是示例性设定而非拟合出来的结果，归因标准仍是悬空的一块，专家小组的权重征询只给了设计没有给结果，而防御性系统该不该另设一条门槛，论文留给后续研究。
🎓 专业 IRMaD 结构解读
I. Introduction（引言）
论文把问题定位于两套已成文规则的接缝处。欧盟《数字服务法》（2022）与《人工智能法》（2024）对平台施加系统性风险评估（第34条）、风险缓减（第35条）、独立审计（第37条）与研究者数据获取（第40条）义务，英国《在线安全法》（2023）另设注意义务；三者的共同前提是致害系统由受国内法约束的商业主体运营。国际人道法则以《塔林手册2.0》规则103（网络作战手段与方法）与规则110（法律审查）处理网络行动，其分析框架默认每一次目标选择由人类作出。自主网络武器（ACW）落在两者的并集之外：国家行为体、民用基础设施、无实时人类批准的单次交战。作者以两个实例锚定缺口的现实性：NotPetya（2017）波及65国、损失约100亿美元，无国家担责；Volt Typhoon（2024）在美国关键基础设施中长期驻留至少五年，无国际机制被触发。据此提出三项贡献：六种作战模式与五类危害交叉的分类法；带闭式门槛与权重敏感性证明的“有意义的人类控制”（MHC）指标；以ARSIWA国家责任（而非《罗马规约》个人责任）为法理基础的平台问责架构。作者明确将归因排除在贡献之外，视之为待补的外部条件。
I. Theoretical Framework & Hypotheses（理论框架与假设）
形式框架由两个定义、一个度量与一条门槛定理构成。定义1（ACW）指在国家设定的部署授权集内自行选择目标、自行选择行动、且单次交战无需实时人类批准的网络系统；两个承重属性是作战模式（LOITERING / ADAPTIVE / SELF-REPLICATING / MULTI-STAGE / ATTRIBUTION-EVASION / HYBRID）与自主行动选择策略（EXPLOIT / PERSIST / EXFIL / DISRUPT / DESTROY），后者正是把人移出交战回路的东西。定义2（数字危害）由危害类型（基础设施、民主、金融、医疗、供应链）、严重度 ∈[0,1] 与地理范围刻画。定义3给出MHC函数：MHC(w)=Σ w_d·score_d(w)，D={Understand, Predict, Override, Time, Audit}，Σw_d=1；示例权重 w_U=w_P=0.25、w_O=0.30、w_T=w_A=0.10。定理3.1（治理合规门槛）令 R 为可接受的最小军事利益与伤害之比（AP I 第51(5)(b)条）、π 为目标平民属性概率上界，参考边界系统取 score*_O=1−1/R 与 score*_d=π，门槛为其加权和：R=15 时 MHC*=0.875（π=0.85）、0.98（π→1）。命题1给出 min_d score_d ≤ MHC(w) ≤ max_d score_d 且对每个分量单调不减，故任一维度不可被其他维度补偿。作者强调 MHC* 仅为必要性方向证据：score_{U,P,T,A}=1.0、score_O=0.60 时 MHC=0.88 已过线，故须与分量式检验并用。
M. Materials & Methods（材料与方法）
评分锚点为闭区间三档制。Understand：0＝无部署前行为刻画，0.5＝能力已具体化但未分析涌现行为，1＝覆盖整个部署包络。Predict：0＝授权时目标选择对部署方不透明，1＝目标集可事前枚举。Override：0＝无中止路径，0.5＝中止依赖可能在实战中失效的通道（如密级指挥链路），1＝指定操作员可连续中止。Time：按“行动对部署方可见”到“行动不可逆”的间隔计分，0＝同时，1＝数小时以上。Audit：0＝无逐次行动日志留存，1＝日志留存且可由部署单位之外的主体复核。报表未涉及的维度取低档锚点，该设定系统性压低分数，即对作者自身的负结论不利。案例选择标准为：政府或主要厂商已公开归因、且技术上存在自主行动选择策略；共收入11起（Stuxnet、NotPetya、Volt Typhoon、Industroyer、Triton/TRISIS、WannaCry、AcidRain/Viasat、Industroyer2、Shamoon、Olympic Destroyer、WhisperGate），覆盖俄罗斯与伊朗操作方及多阶段、混合、自复制、归因规避四类模式。另设边界检验：三起事件因不满足定义1（SolarWinds、2015年乌克兰电网攻击）或不满足ARSIWA归因（Colonial Pipeline，疑为自主但系犯罪团伙而非国家机关或第8条代理）被主动排除。复现性检验以三个大语言模型各自独立上下文、不接触本文与彼此打分为12个对象评分，用ICC(2,1)衡量一致性。
R. Results（结果）
表1给出全部12个对象的五维分项与总分（设计权重 w_U=w_P=0.25、w_O=0.30、w_T=w_A=0.10）。11起已记录事件的MHC落在[0.19,0.66]：Volt Typhoon最高（0.66），Industroyer2（引爆前被挫败）最低（0.19）。结构性发现是Override为每个已记录事件的约束维度，最高仅0.61；且11起在五个维度上同时低于参考边界系统，故负结论完全不依赖权重向量（命题1）。
| 案例 | U | P | O | T | A | MHC |
|---|---|---|---|---|---|---|
| Volt Typhoon (2024) | 0.70 | 0.65 | 0.61 | 0.70 | 0.70 | 0.66 |
| Stuxnet (2010) | 0.60 | 0.55 | 0.29 | 0.35 | 0.30 | 0.44 |
| Industroyer (2016) | 0.35 | 0.30 | 0.21 | 0.25 | 0.30 | 0.28 |
| Olympic Destroyer (2018) | 0.35 | 0.30 | 0.20 | 0.25 | 0.20 | 0.27 |
| AcidRain / Viasat (2022) | 0.28 | 0.25 | 0.19 | 0.25 | 0.30 | 0.24 |
| WhisperGate (2022) | 0.30 | 0.25 | 0.15 | 0.25 | 0.25 | 0.23 |
| NotPetya (2017) | 0.20 | 0.15 | 0.29 | 0.20 | 0.35 | 0.23 |
| Shamoon (2012) | 0.30 | 0.25 | 0.13 | 0.15 | 0.30 | 0.22 |
| Triton / TRISIS (2017) | 0.25 | 0.20 | 0.18 | 0.20 | 0.25 | 0.21 |
| WannaCry (2017) | 0.15 | 0.10 | 0.28 | 0.30 | 0.25 | 0.20 |
| Industroyer2 (2022) | 0.20 | 0.15 | 0.18 | 0.20 | 0.28 | 0.19 |
| Hypothetical Art.-36-reviewed defensive AI | 0.91 | 0.85 | 0.95 | 0.90 | 0.95 | 0.91 |
虚构对照为第5.8节构造的系统：具备公开的类第36条审查、参数在本国网络外排除DISRUPT/DESTROY、行动日志接受30天立法审查、实时灭杀开关，MHC≈0.91。该系统在π≤0.90时过线；但π→1（纯民用目标）时门槛升至0.98，虚构系统亦不通过，门槛的目标依赖性由此成为区分原则的量化表述。扰动分析：统一扰动下负结论可承受 δ=+0.215，正结论仅承受 δ=−0.035；对抗性扰动（已记录事件+0.05、虚构系统−0.05）下11起仍全部不合格，而虚构系统降至0.860并失守。独立评分者探测：ICC(2,1)=0.97（分维度0.84–0.99，Time最低）；三位评分者对已记录事件的打分低于作者（平均绝对偏差0.20，最高案例0.37 对 作者0.66），负结论被加强；虚构系统被一致评为0.80–0.82，落在门槛之下，合格结果不复现。
a / D. Discussion & Conclusion（讨论与结论）
三项政策建议与限度。Pillar 1（部署方问责）对应DSA第34–35条，要求缔约国对任何符合定义1的网络系统实施第36条审查，审查小组须含至少一名独立AI治理专家与一名国际人道法专家，结论于达到作战就绪后90日内交存ICRC，并覆盖全部五类危害。Pillar 2（民主监督）给出可直接入约的条款文本，法理走ARSIWA第4条而非第8条：国家机关部署之系统的自主行为归因于国家，不问单次目标选择是否有自然人参与；仅在部署经由非国家行为体时才适用第8条与Nicaragua“有效控制”标准（融资、组织、装备、选择目标、整体策划均不足以达标）。免责抗辩限于两项同时成立：(i) 部署时MHC已超过MHC*，(ii) 损害源自系统编程参数之外的行为；国家责任与《罗马规约》第28条的个人责任并行不悖。第3项提案要求涉及民用目标类别的部署须获立法授权而非仅凭行政命令，对应AI Act第27条基本权利影响评估。三项均可单边采纳，无需等待条约。限度：归因是框架的输入而非输出，作者承认未予解决，并指出所评11起恰是归因争议最小者，故真实缺口只会更宽；危害严重度剖面、权重、R=15 与 π 均为示例性标定而非拟合参数，既无标注语料（作者建议参照VERIS建立）亦无专家征询结果，仅给出两轮Delphi/AHP设计（8–15名受访者，跨国际人道法、AI治理与军事/CERT）；防御性系统因以机器速度为核心价值常缺实时Override，是否存在独立防御门槛仍悬置。
🧠 IRMaD 思维导图
mindmap
root((自主网络武器问责框架))
I 引言
平台法规已成体系
只管商业主体运营
国家武器落在缝里
损失百亿无人担责
两套规则同时失灵
R 问题
谁来为自主武器负责
现有框架接不住
缺一把可比的尺
归因是外部前提
M 方法
六种模式五类危害
五维打分再加权
反推法律及格线
十一起公开归因案
独立模型复现打分
R 结果
十一例全部不合格
分数落在零点二到零点七
实时叫停是共同短板
虚构系统零点九一
纯民用目标谁也不过
a 讨论
不合格结论很稳
合格结论很脆
权重扫动不改判定
防御系统另有矛盾
D 结论
战前法律审查
国家责任条款成文
议会授权要求
可先单边试行
图：本研究的 IRMaD 思维导图。蓝色 I 引言；橙色 R 研究问题；绿色 M 方法； 橙色 R 结果；紫色 a 讨论；红色 D 结论。