Direct Causation in International Humanitarian Law and the Challenge of AI-Mediated Civilian Cyber Operations

기술 요약: 국제인도법에서의 직접적 인과관계와 AI 매개 민간인 사이버 작전의 과제

문제 제기
국제인도법(IHL)은 민간인이 "적대 행위에 직접 참여"(DPH)하지 않는 한 민간인을 공격으로부터 보호한다. ICRC의 2009년 *해석 지침(Interpretive Guidance)*은 이를 세 가지 누적적 기준인 '해악의 문턱(threshold of harm)', '직접적 인과관계(direct causation)', '교전 측과의 연관성(belligerent nexus)'을 통해 구체화한다. 본 논문은 AI 매개 민간인 사이버 작전에 적용될 때 직접적 인과관계 기준에서 발생하는 구조적 실패를 식별한다. 구체적으로, 민간인에 의한 자율적 다중 에이전트 사이버 시스템의 배치는 기존의 교리적 도구로는 메울 수 없는 인과적 간극을 생성한다.

핵심 문제는 해석 지침이 초기 민간인의 행위로부터 분류 가능한 행위를 수행할 식별 가능한 인간 행위자가 하류(downstream)에 존재함을 전제로 한다는 점이다. 전통적인 사례(예: 지뢰, 드론 공격)에서는 인간이 해악을 실행하거나, 혹은 시스템이 나중에 실행할 운용적 결정을 코드화하여 시스템에 삽입한다. 그러나 고도화된 AI 시나리오에서는 민간인이 높은 수준의 목표를 설정한 후 시스템을 분리(disengage)할 수 있으며, 이후 시스템은 해악을 일으키는 구체적인 운용적 결정(대상 선정, 취약점 생성, 실행 타이밍 등)을 자율적으로 생성한다. 이 경우 인간은 더 이상 결정 생성 시스템 내부에 "내생적(endogenous)"이지 않으며, 또한 공동 작전을 형성할 하류의 인간 기여자도 존재하지 않으므로, 프레임워크는 이러한 행위를 간접적 참여(역량 강화)로 분류하는 것으로 귀결된다. 이러한 분류는 민간인이 군사적 목표를 향해 자율 시스템을 직접 배치했음에도 불구하고, 이들을 과학 연구나 무기 생산과 동일하게 취급한다는 점에서 프레임워크의 목적과 실질적인 긴장 관계를 형성한다.

방법론
본 논문은 해석 지침에 대한 교리적 분석과 신흥 공격적 AI 역량에 대한 경험적 평가를 결합하여 사용한다.

1. 교리적 프레임워크: 저자들은 "단일 인과 단계(one causal step)" 표준과 "필수적 부분(integral-part)" 요건을 분석한다. 또한, 민간인이 해악을 생성하는 시스템 내부에 있는지 외부에 있는지를 판별하기 위해 내생적/외생적(endogenous/exogenous) 분석 렌즈를 도입한다.
2. 시나리오 구성: 인간이 루프 안에 있는(human-in-the-loop) 방식부터 완전 자율적 배치에 이르기까지 세 가지 AI 매개 사이버 행위 시나리오를 구성한다.
   • 시나리오 1: 자원봉사자가 LLM을 사용하여 스크립트를 작성하고 이를 수동으로 실행함 (Human-in-the-loop).
   • 시나리오 2: 해크티비스트가 에이전트 프레임워크를 실행하며, AI가 단계를 제안하지만 인간이 실행 전 각 동작을 승인함 (Generative assistance가 포함된 Human-in-the-loop).
   • 시나리오 3: 해크티비스트가 계층적 다중 에이전트 시스템(예: HPTSA)을 구성하고 이를 실행하여, 인간의 추가 입력 없이 시스템이 자율적으로 계획, 정찰 및 공격을 수행하도록 함.
3. 경험적 맥락: 본 분석은 러시아-우크라이나 갈등에서 나타난 민간인 사이버 참여(예: 우크라이나 IT 군단)와 최근의 공격적 AI 연구(예: Fang 등의 GPT-4 에이전트가 CVE의 87%를 악용한다는 연구, Anthropic의 Project Glasswing)를 인용하여, 시나리오 3의 기술적 토대가 추측이 아닌 실제 작동 가능한 단계임을 입증한다.

주요 기여
본 논문은 세 가지 주요 기여를 한다.

1. 구조적 실패의 교리적 식별: 자율적 다용 에이전트 배치에 대해 DPH 프레임워크의 직접적 인과관계 요소가 구조적으로 실패함을 입증한다. "단일 인과 단계" 표준은 실패하는데, 이는 해악이 인간의 이탈 이후 시스템이 생성한 결정들에 의해 발생하기 때문이다. "필수적 부분" 요건 또한 실패하는데, 이는 인간에 의해 정의된 하류의 인간 기여자가 부재하기 때문이다.
2. 목표 명세 정밀도(Goal-specification Granularity)의 도입: 논문은 "필수적 부분" 테스트의 구체성을 결정하는 측정 가능한 속성으로서 목표 명세 정밀도를 제시한다. 이 개념은 인간이 구성 시점에 얼마나 많은 운용적 의사결정을 고정(fix)하는지, 아니면 시스템이 사후에 얼마나 많은 결정을 생성하는지를 정량화한다.
   • 저자들은 5단계 스펙트럼을 제안한다:
     • 레벨 1 (완전 명세): 인간이 대상, 방법, 실행 단계를 모두 지정함.
     • 레벨 2 (방법 명세): 인간이 대상과 방법의 범주를 지정하고, 시스템이 구체적 기법을 선택함.
     • 레벨 3 (대상 명세): 인간이 대상을 지정하고, 시스템이 방법을 선택함.
     • 레벨 4 (범위 명세): 인간이 대상의 클래스를 지정하고, 시스템이 구체적 대상과 방법을 선택함.
     • 레벨 5 (목표 명세): 인간이 오직 목적만을 제시하고, 시스템이 대상, 방법 및 실행을 모두 선택함.
   • 논문은 교리적 실패가 특히 인간이 시스템으로부터 외생적이 되는 레벨 5에서 발생한다고 주장한다.
3. 기술적 AI 거버넌스(TAIG) 평가: 본 논문은 기존의 기술적 AI 거버넌스 도구들(예: Cybench와 같은 역량 벤치마크, AgentBench와 같은 에이전트 프레임워크, 출력 출처 추적 도구)을 평가한다. 결론적으로 이러한 도구들 중 어느 것도 목표 명세 정밀도를 기록하거나 보고하지 못한다고 밝힌다. 이들은 모델의 성능이나 접근성을 측정할 뿐, 민간인 행위의 사후 법적 분류에 필요한 특정 지표를 갖추고 있지 않다.

결과

• 시나리오 1 및 2: 이들은 기존 DPH 논리에 부합한다. 시나리오 1에서 인간은 행위를 실행한다. 시나리오 2에서 인간은 각 운용적 결정을 승인함으로써 내생적 위치를 유지한다.
• 시나리오 3: 이 시나리오는 프레임워크를 파괴한다. 인간의 행위(구성)는 일련의 자율적 시스템 결정에 의해 해악으로부터 분리된다.
  • "단일 인과 단계" 표준이 충족되지 않는다. 왜냐하면 해악은 여러 단계 뒤에서 발생하기 때문이다.
  • "필수적 부분" 요건이 충족되지 않는다. 왜냐나 행위 시점에 인간에 의해 정의된 "구체적이고 협력적인 전술 작전"이 존재하지 않으며, 작전은 시스템에 의해 생성되기 때문이다.
  • 결과적으로, 프레임워크는 역량 강화 제외로 분류되어, 해당 배치를 간접적 참여로 오분류한다.
• 시간적 결과: 직접적 인과관계의 실패는 "그 기간 동안(for such time as)"이라는 시간적 경계의 붕괴를 초래한다. 왜냐하면 참여의 시작과 끝을 고정할 수 있는 식별 가능한 참여 행위가 없기 때문이다.
• 거버넌스 간극: 현재의 TAIG 도구들은 구성 행위의 정밀도를 포착하지 못한다. 배치가 레벨 1인지 레벨 5인지를 기록하지 못한다면, 역량 강화(예: 연구)와 직접적 참여(예: 자율 공격 배치)를 구분할 증거 기반이 존재하지 않게 된다.

의의
본 논문은 AI 매개 사이버 작전과 DPH 프레임워크 사이의 불일치가 단순한 해석의 문제가 아니라 구조적인 문제라고 주장한다. 자율 시스템이 확산됨에 따라, 프레임워크가 분류하는 것(간접 참여)과 설계 의도(직접 참여) 사이의 간극은 더욱 넓어질 것이다.

본 연구의 의의는 교리가 업데이트되어야 할 정확한 지점을 국소화하는 데 있다. 즉, 필수적 부분 테스트의 구체성 구성 요소는 인간이 구성 시점에 얼마나 많은 운용적 내용을 고정했는지에 대한 척도 없이는 기능할 수 없다. 논문은 목표 명세 정밀도가 역량을 구축하는 민간인과 직접 적대 행위에 참여하는 민간인을 구분하는 데 필요한 필수 척책이라고 제안한다. 비록 협력 플랫폼의 도구화가 첫 단계가 될 수 있음을 언급하면서도, 적대적 행위자(해크티비스트)들이 플랫폼 중개자 없이 로컬 하드웨어에서 운영되는 경우가 많아 현재의 협력적 거버넌스 조치만으로는 가장 중요한 사례들을 다루기에 불충분하다는 한계를 인정한다. 본 연구는 종합적인 거버너스 제안이라기보다 특정 교리적 실패 모드에 대한 진단적 작업이다.