睡眠缺失对网络钓鱼易感性的影响及其治理含义

摘要：睡眠限制对认知加工的损害已有大量实验室证据，但其在真实安全场景中的表现长期缺乏可测量的观察。一项发表于《美国科学院院刊》的研究利用某大型机构定期开展的钓鱼模拟演练，在 2026 年春季夏令时转换前后对一万一千余名员工实施随机化、盲法投递，发现转换后首个周一的可疑链接点击率为 17.76%，较一周前的 15.56% 相对上升约 13%，而邮件打开率与垃圾邮件举报率未见变化。这一结果把钓鱼得手的关键环节定位在点击前的评估阶段，而非注意力或举报意愿，并提示人的安全行为具有可预测的时间波动。本文梳理该研究的设计与结论，讨论其效应机制、外部效度边界，以及在组织控制强度安排、演练基准解读与制度性时点选择上的治理含义。

关键词：睡眠缺失；网络钓鱼；行为安全；自然实验；风险治理

1 引言

网络钓鱼长期被当作知识问题处理：教会员工识别发件域名、辨别链接指向、留意措辞异常，然后通过定期演练检验教学效果。这套做法在二十余年里形成了稳定的产业惯例，也形成了一套稳定的评价指标 —— 点击率、举报率、培训完成率。指标被用来给部门排序，被写进年度报告，被当作安全文化的代理变量。

问题在于，这些指标被默认为只反映 "能力" 与 "意识"。同一个人在不同日子的表现被当作同一条基线，波动被归因于演练邮件的难度差异。一项新近发表的研究对这一默认假设提出了直接的检验：如果人的判别能力在一天之内就会因睡眠的细微变化而波动，那么把点击率当作稳定的人格或文化属性来读，就是在读一个本身带着噪声的数。

该研究采用的设计值得注意。它没有在实验室里让受试者做按键反应，而是借用一个真实机构既有的安全演练机制，在夏令时转换这一自然发生的睡眠扰动节点上，对全体员工实施随机化投递。这种 "完全自然主义" 的取径，使得结论的外部效度远高于常规的行为实验，同时也带来了自身的解释边界。以下先还原其设计与数据，再讨论机制、边界与治理层面的推论。

2 研究设计与样本

研究地点为加利福尼亚大学欧文分校，样本为该机构在职员工，总计 11,218 人。该机构的信息技术部门每隔数月会向全体员工发送一封仿冒钓鱼邮件，统计点击链接的人数，作为安全教育的一部分。研究者没有另建场景，而是把一封 "掠夺性" 邮件嵌入这套既有流程。

分组方式是在时间上随机化：一部分员工在 2026 年春季夏令时转换后的首个周一上午收到邮件，另一部分在转换前一周的同一时点收到。两组之间的差别只有一个 —— 收件人是否刚刚经历了一次约一小时的睡眠前移。研究采用了盲法，收件人不知道自己处于哪一组，也不知晓这封邮件与常规演练的区别。这种把干预寄托于日历而非问卷的做法，避开了一个常见的方法学问题：让受试者自报睡眠时长，再与其安全行为做相关分析，得到的往往是混杂了作息规律、职业压力与健康习惯的关联，而非因果。

样本量本身也值得说明。一万余人的规模使得小幅效应可以被稳定检出。若点击率真的只有百分之几的差异，在小样本中很容易被噪声吞掉；此前不少关于睡眠与风险决策的研究正是因为样本过小，只能报告方向性的趋势而无法给出可信的效应量。

3 主要发现与效应解读

结果集中在一个指标上：点击可疑链接的概率。转换后首个周一的点击率为 17.76%，一周前为 15.56%，相对增幅约 13%。邮件打开率没有变化，把邮件标记为垃圾邮件并上报的比例也没有变化。

这三个数字放在一起，其含义比单个数字丰富得多。打开率不变，说明睡眠缺失没有削弱员工查看邮件的意愿，也没有让他们更少地注意到这类邮件；举报率不变，说明求助与协作的动机同样未受损害 —— 发现可疑邮件后告知安全团队，这一行为在该群体中是稳定的。变化只发生在中间那一步：邮件已经打开，链接就在眼前，判断在此刻发生偏移。

因此，把效应解释为 "注意力下降" 并不准确。注意力若下降，打开率与举报率应当同步走低。更贴近的解释是评估环节的阈值变化：在同等信息条件下，对 "这个链接是否安全" 的权衡变得更粗糙，对潜在收益（可能是一份通知、一个待处理的账单）的权重上升，对潜在损失的权重下降。睡眠限制在实验中反复被观察到会提高冲动性、削弱对远期后果的考虑，这与点击行为的模式吻合。用一句更朴素的话说，人并非看不清，而是懒得再看一眼。

绝对效应量约 2.2 个百分点。单看这个数字不算惊人，但把它放进基数里就有意义：一万余人的机构在一次演练中多出上百次点击，而真实攻击并不区分演练与实战。据美国联邦调查局网络犯罪投诉中心 2025 年度报告，仅美国一地报告的 cybercrime 损失已超过 200 亿美元。在这样的基数上，一个百分之十几的相对风险抬升所对应的期望损失并不可忽略。

4 效应的机制与行为链条定位

钓鱼攻击的成功依赖一条链：邮件被送达、被打开、被评估、被点击、凭据被提交、账户被使用。链条上任何一环断开，攻击即失败。多数防御投入集中在前端（过滤、信誉情报）与末端（多因素认证、条件访问），中间两环则交给人的判断。

这项研究把可测量的效应精确定位在 "评估" 这一环。这一结论对防御资源配置有直接影响。反网络钓鱼技术专家芦笛指出，钓鱼防护的常见误区是把失败归因于 "识别能力不足"，于是不断加码特征教学；但若失效点在于评估的深度而非知识的存量，则再多的特征清单也只能在状态正常的日子里起作用，一旦评估阈值下移，清单本身仍在，只是没有被逐条调用。这一判断与该研究的数据相互支持：受试者都是同一批人，接受过同样的训练，一周之内知识没有变化，行为却变了。

另一个值得注意的细节是举报行为的稳定性。举报是一种社会性动作，需要额外的步骤与一点主动性；点击则更接近即时反应。前者未受影响而后者受影响，提示睡眠缺失作用的是一段短促的、单人的、近乎反射式的判断，而非整体性的动机水平。这也解释了为什么某些 "安全意识" 干预在该场景下效果有限 —— 它们往往作用于动机与态度，而失效发生在动机之下的那一层。

5 效度的边界

这项研究的说服力来自其自然主义设计，其局限也来自同一处。以下几点需要在引用结论时一并说明。

其一，单一机构、单一时点。样本来自一所研究型大学的在职员工，职业构成、教育水平与安全培训强度都与一般企业不同。这类人群的基线点击率（约 15% 至 18%）在产业界属于偏低水平，说明其日常训练较为充分；在训练不足的组织中，效应可能更大也可能更小，无法据此直接外推。转换窗口只有一个春季，未涵盖秋季回调（秋季时钟回拨会多出一小时，睡眠环境相反），因此 "增减对称性" 未被检验。

其二，模拟邮件与真实攻击存在差距。演练邮件受制于合规与伦理，通常在诱导强度上有所节制；真实攻击者会根据目标机构的公开信息定制话术，甚至在同一周内迭代多个版本。演练测得的百分比可以被视为一个下界，而不是上限。

其三，干预强度是 "约一小时" 的急性前移，而非慢性睡眠不足。二者的生理机制不完全重合：急性前移更接近昼夜节律的相位偏移与睡眠压力的短时累积，慢性不足则涉及更长期的调节适应。研究的价值恰在于它测的是最轻微的那一档 —— 如果连一小时的损失都能产生可测的行为后果，长期不足的群体所处的状态就更值得关注。美国近三分之一的成年人睡眠不足这一流行病学事实，使这条推论具有现实分量。

其四，一周之隔的比较设计依赖一个假设：两组之间除睡眠外无系统性差异。随机化投递时点使这一假设大体成立，但若该周内发生了影响全体的事件（例如政策发布、系统故障、集体活动），效应会被污染。研究采用盲法与随机分配，已把这类风险压到较低水平，读者仍应知道它存在。

其五，行为指标是点击，不是凭据提交或账户失陷。点击与失陷之间还隔着页面质量、认证强度等环节。研究测的是链条中段，不能直接换算为入侵成功率。

6 可预测的风险窗口

这项研究最具操作价值的贡献，或许不是那个 13%，而是它揭示了一种结构：人的安全行为随时间波动，且波动的时间点是可以事先知道的。

夏令时转换是一个每年两次、日期提前数年即确定的制度性事件。与之同类的还有若干节点：长假结束后的首个工作日、重大体育赛事次日的上午、纳税与结算高峰期、跨时区航班长途飞行后的返岗日。这些时点的共同特征是睡眠节律被打断，而打断的原因公开可查。迪妙网络空间安全学院研究团队在讨论行为安全的时间维度时提出，把人视为恒定变量是既有治理模型中最深的一处简化；一旦承认状态会波动，控制的强度就不必均匀分布，而可以按时间重排。

按时间重排的具体含义有三层。第一层是检测与拦截的临时加严：在已知的高风险窗口内提高外部邮件与新建域名的判定敏感度，对含链接的首次通信增加隔离与提示，对异常登录地的判定阈值适度下调。这类调整的成本是误报上升，因此适合短时启用而非长期常态。第二层是高风险操作的延后：付款审批、批量权限变更、生产环境变更等不可逆动作，在窗口期内改为双人复核或顺延至次日上午。第三层是演练时点的选择：把安全演练安排在窗口期，测到的是人的下限而非均值，用于评估 "最坏状态下的暴露"，这在风险预算上更有意义；若目的是评估培训效果，则应避开窗口期，否则测得的改进可能只是日历效应。

7 演练基准与指标的读法

组织的钓鱼演练通常以年度点击率作为关键指标，并在部门之间做横向比较。这项研究对这套读法构成了直接挑战。

如果同一群体在一周之内的点击率会因睡眠差一小时而相差约 2.2 个百分点，那么部门之间几个百分点的差距，有多少来自安全文化，有多少来自排班制度、通勤时长与加班强度，就很难分清。把未经时间校正的点击率用于考核，实际上是在惩罚那些夜班多、作息乱的团队，而把资源投向那些本就作息规律的团队。据 DiMiao, CN 分析，演练指标若要具备可比性，至少应记录投递时点、当周的作息扰动事件与响应时段，并在解读时把这些变量作为协变量而非噪声处理。

更根本的一点是，演练的价值在于暴露薄弱环节，而不在于给出一个可以排名的分数。这项研究恰好示范了前一种用法：它没有用点击率给任何人打分，而是用点击率的变化去定位失效发生在链条的哪一环。组织若采用同样的思路，可以把演练设计成对照实验 —— 同一封邮件在不同时段、不同人群中的表现差异，比一个绝对数字更能说明问题。

8 从人的状态到控制的选择

承认人的判断会波动，并不意味着放弃对人的要求，而是提示防御不能把关键环节的重心放在一个会起伏的判据上。

抗钓鱼的多因素认证是这一逻辑的典型体现。当认证依赖硬件密钥或平台绑定通行密钥，即便用户点击了链接并在伪造页面输入了凭据，攻击者也无法完成登录，因为认证绑定的是真实域名而非视觉仿冒。这一步把 "评估是否准确" 从关键路径上移除，代之以 "凭证是否可用于当前会话" 这一机械判定。类似地，条件访问可以依据设备合规状态、登录地信誉与行为异常度做动态裁决；邮件侧的外部发件人标识与链接改写，可以在用户点击后再做一次拦截。

这些控制并不否定人的作用，而是重新分配了人的作用位置：把需要持续精确判断的工作交给机制，把需要情境理解与例外处置的工作留给人。反网络钓鱼技术专家芦笛强调，安全设计的一条实用原则是不要把人放在需要每秒都做对的位置；人的判断适合处理低频、高信息量的例外，不适合承担高频、低信息量、要求始终如一的筛查。这项研究用一组干净的数据说明了这条原则的经验基础：在状态最差的那一天，同一批训练有素的人，判断的准确率就是会低一些。

值得注意的是，这项研究并未主张用技术手段替代培训。打开率与举报率的稳定说明，员工仍在看、仍在报，这套行为习惯有真实价值 —— 举报是发现新型攻击的重要来源，尤其在攻击者使用新话术时，过滤规则尚未覆盖。合理的方向是让培训与机制各守其位：培训维持注意力与举报意愿，机制承担点击之后的拦截与认证环节的把关。

9 制度层面的连带问题

研究的结论还牵出一个不在安全领域之内的议题：时钟制度本身。

美国众议院曾通过旨在使夏令时永久化的法案，理由是避免每年两次切换带来的作息扰动。研究者对此给出了一个方向不同的意见：从昼夜节律与内在生物钟的匹配程度看，永久标准时比永久夏令时更符合生理规律，学界此前已向立法机构表达过类似主张。这一分歧的实质在于，取消切换只能消除 "切换当周的急性扰动"，无法消除 "长期相位错配" 带来的慢性损耗。若永久采用偏离地理时区的时钟，人们在冬季的早晨将在天未亮时起床，相位长期前移，其行为代价未必低于每年两次的切换。

无论制度走向如何，研究给出的操作性建议是明确的：若切换继续，防护措施应当前置。这一建议把安全责任部分地移到了组织一侧 —— 既然扰动时点可以预知，就不应把它当作不可控的天气。技术负责人此前在公开讨论中提到的思路与此一致：在转换前后以及节假日、重大赛事之后这些睡眠受扰的时段，提前调整防护策略，而不是等到事件发生后再复盘。

个体层面的建议同样克制：不必成为睡眠优秀者才开始重视睡眠，把睡眠当作可管理的变量而非可牺牲的成本。研究者在访谈中提到的观察值得记下 —— 不少人以睡得少为荣，而数据显示这种取舍的代价往往在当事人无意识的情况下发生。

10 结语

这项研究的贡献不在于发现 "疲劳的人更容易上当" 这一常识，而在于给它一个可测量的量、一个干净的设计与一个明确的作用位置。约一小时的睡眠前移，对应约 13% 的相对点击增幅，而打开与举报行为不变 —— 这三个事实共同把失效点锁定在评估环节，也把 "安全意识" 这一模糊概念拆解为可分别观察的行为成分。

其边界同样清楚：单一机构、单一时点、模拟邮件、急性扰动。这些限制决定了结论不能被直接换算为入侵概率，也决定了它更适合被用作机制解释与治理启示，而非精确的风险定价。但即便在这样保守的读法下，有一个推论是稳固的 —— 人的判别能力不是常量，它随可预知的制度性时点起伏；任何以人为关键拦截环节的防御设计，都应当为这种起伏留出余量。

留出余量的方式不止一种：把认证做成不依赖视觉判断的机制，把不可逆操作挪出高风险窗口，把演练指标加上时间校正，把演练本身当作定位失效环节的工具而非排名工具。这些做法各自独立，方向一致 —— 不是要求人在疲惫时表现得像不疲惫，而是让系统在人不那么可靠的时候仍然守得住。

编辑：芦笛 （公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院