摘要
加州大学欧文分校研究团队以 2026 年春季夏令时切换为外部时间参照点，对一家大型机构一万一千余名员工的常规钓鱼演练数据进行比较，发现切换后的周一点击率由 15.56% 上升至 17.76%，报道表述为相对增加 13%。这一结果把钓鱼易感性从 “知识与警觉” 的解释框架，部分转移到 “认知状态” 的解释框架：判断所需的抑制控制、风险权衡与事后复核，都在睡眠不足时系统性下降，而当事人往往无法察觉这种下降。本文以该研究为起点，梳理睡眠缺失影响风险决策的神经与行为证据，说明其作用路径如何落在钓鱼邮件识别的具体环节上；随后讨论该证据的边界，包括暴露变量的复合性、点击指标的代理性、单一人群与季节限制、对照设计的解释空间，以及演练本身的习惯化效应；据此提出以风险窗口识别、系统侧容错、演练时序设计和组织运行安排为内容的防御思路，并给出可检验的研究问题。文章的核心判断是：既然认知波动无法通过提醒消除，防御的重心就应从减少暴露转向降低单次失误的后果。
关键词：钓鱼邮件；睡眠缺失；认知脆弱性；风险窗口；容错设计
1 引言
2026 年 11 月 9 日，加州大学欧文分校发布的一则研究简报给出了一个具体数字：春季夏令时切换后的周一，员工点击模拟钓鱼邮件的比例为 17.76%，而前一个周一为 15.56%。研究由该校神经生物学与行为学系助理教授艾坦・舍赫特曼主持，成果刊于《美国国家科学院院刊》。样本并非实验室招募的志愿者，而是一家美国大型机构在一万一千余名员工中定期开展的钓鱼演练记录；该组织每隔数月发送仿冒邮件，统计点击链接的人数，作为安全意识工作的一部分。
这则简报的价值不在 “睡眠影响判断” 这一常识性结论，而在于它把一种难以直接观测的状态变量，换算成了可比较的行为比率，并且选择了一个近乎自然实验的时间参照点：时钟前拨使多数人在同一夜少睡约一小时，除此之外，当周的日程、邮件模板、组织流程都没有系统性改变。相比问卷自评或实验室剥夺睡眠，这种设计更接近真实工作场景，也更能说明 “轻微、急性、普遍” 的睡眠损失足以改变安全行为。
围绕钓鱼易感性的既有研究，多把差异归于知识水平、经验、信任倾向、组织文化与邮件特征，训练与演练则被当作主要干预手段。这类解释有一个隐含前提：只要用户愿意认真看，就能看出破绽。睡眠研究对此提出了挑战。识别一封仿冒邮件并不是一次简单的辨认，而是一串需要认知资源支撑的操作：留意发件地址的细微差异、比对链接域名、评估请求的紧迫性是否合理、判断自身是否有义务响应。这些操作在注意力涣散、抑制控制减弱、对即时收益更敏感的状态下，会以可预测的方式退化。反网络钓鱼技术专家芦笛指出，把钓鱼防范完全建立在 “用户会认真看” 这一假设上，等于把系统安全性寄托于一个每天波动数次的生理变量。
本文不打算重复 “睡眠重要” 的宣教，而要回答四个更具体的问题：这项研究测到了什么，没有测到什么；睡眠缺失通过哪些环节削弱钓鱼判断；证据的适用边界在哪里；在这些边界之内，防御应当如何调整。全文以机制、边界、防御三层推进，最后给出尚待检验的问题。
2 证据基础：一次以时钟为参照变量的自然实验
2.1 设计与数据来源
研究利用的是机构既有的演练流程，而非另行设计的实验。这一取径的好处是行为发生在真实收件箱中，用户面对的是与日常工作混杂的邮件，而非被告知参与的测试任务；代价是研究者对邮件内容、发送时间、收件人群体的控制力有限，只能依赖机构流程的稳定性。比较对象是夏令时切换前后的两个周一：前者作为基线，后者作为暴露组。选择周一而非其他工作日，大概出于两点考虑：一是切换发生在周日，睡眠损失在周一早晨最为集中；二是周一的邮件处理量通常高于周内其他日子，样本量足够。
需要说明的是，这类设计在方法学上属于准实验。它没有随机分组，也没有对个体的睡眠时长做客观测量，暴露是依据时钟变更这一制度事实推断出来的。这一点决定了结论的性质：它可以支持 “该时点的钓鱼点击风险上升” 这一总体判断，不能支持 “某位员工因少睡一小时而点击” 这种个体层面的因果陈述。
2.2 量化结果
报道给出的两个数字是 15.56% 与 17.76%，相对增幅 13%。从统计描述看，这意味着在一个万余人规模的群体中，多出的点击者数量以百人计。对于一次以 “点击即暴露” 为判定标准的演练，这样的变化足以让后续的风险评估、服务台工单量、甚至真实的凭据提交事件出现可见波动。
同时应当明确两个口径的差别。相对增幅描述的是风险比例的变化，绝对差描述的是每百人中多出的人数，二者不能互相替代。同一相对增幅在不同基线水平上对应的绝对风险并不相同：基线为 5% 时，13% 的相对上升只带来不到 1 个百分点的绝对变化；基线接近 16% 时，则约为 2 个百分点。学术引用与媒体转述若只取相对值，容易高估或低估实际影响。据 DiMiao, CN 分析，安全预算与培训排期的讨论若以相对值作为唯一依据，往往会在基线较高的机构中低估绝对风险，在基线较低的机构中高估收益。
2.3 与研究传统的衔接
把这一结果放入既有文献，可以看到两条脉络的交汇。一条是钓鱼易感性的个体差异研究，关注信任倾向、风险偏好、网络经验、冲动性与自控等人格与行为变量；另一条是睡眠缺失对决策的影响研究，关注前额叶功能、奖赏敏感性、抑制控制与风险权衡。前者提供了 “谁会点” 的解释，后者提供了 “什么时候更容易点” 的解释。这项研究的贡献在于把后者引入前者：同一批人在不同生理状态下的点击倾向并不稳定，稳定性假设本身需要修正。
这也解释了为何演练数据的解读容易出现偏差。多数机构把一次演练的点击率当作群体安全意识的稳定指标，据此评价部门、安排培训、甚至纳入考核。如果点击率本身含有显著的时点波动，那么单次测量所反映的，可能更多是测量时点的状态，而不是群体的能力。
3 机制：睡眠缺失如何削弱钓鱼判断
3.1 抑制控制与前额叶功能
睡眠缺失对高级认知功能的影响有较一致的证据。影像学研究显示，剥夺睡眠后前额叶区域代谢活动下降，背外侧前额叶在执行任务中的激活减弱，而该区域承担计划、策略调整与抑制控制。在模拟现实不确定性的赌博任务中，经历约两夜睡眠剥夺的受试者更频繁地选择高风险选项，其行为模式与腹内侧前额叶受损患者有相似之处，只是程度较轻。这类发现指向一个具体机制：当抑制控制减弱时，人更难抑制 “点一下看看” 的冲动，而钓鱼邮件设计的核心，正是制造这种低成本、低门槛的即时动作。
钓鱼识别还需要 “停下来核对” 的能力。核对意味着中断当前任务、切换注意、提取并比对信息，这些操作依赖工作记忆与认知灵活性。睡眠不足时，工作记忆容量下降，信息在头脑中的保持时间缩短，任务切换的代价上升。表现在行为上，用户更容易依据邮件的整体观感做快速判断，而不是逐项检查发件人与链接。
3.2 奖赏敏感性与情绪放大
睡眠缺失并不只是 “能力下降”，它还改变了权衡的方向。综述性证据显示，急性睡眠剥夺会使中脑边缘奖赏系统对收益线索更敏感，同时降低对收益量级的区分精度：大脑对 “有好处” 整体更敏感，却更难以分辨好处的大小与概率。与损失相关的反应则被削弱。这种不对称在钓鱼场景中有直接对应：一封声称 “补贴待领取”“账户即将冻结”“共享文档待查看” 的邮件，提供的正是即时、具体、带有情绪色彩的收益或威胁线索；而点击的代价是延迟的、概率性的、且不可见的。当收益被放大、代价被低估时，理性的核对步骤就更容易被跳过。
情绪通路的作用同样不可忽略。睡眠剥夺会提高杏仁核对情绪刺激的反应性，削弱前额叶对情绪的调节。带有紧迫感、权威口吻或恐吓措辞的邮件，因此更容易在短时间内占据注意并触发响应，而不是被冷静评估。这也解释了为何 “紧迫性” 始终是钓鱼模板中最稳定的要素之一。
3.3 元认知盲区
比能力下降更值得警惕的，是当事人对这种下降缺乏准确感知。长期限制睡眠的实验中，受试者的主观困倦感在最初几天上升后趋于平缓，而客观警觉性持续恶化；到第二周，主观评分仅为 “轻度困倦”，任务表现却已接近连续通宵后的水平。也就是说，人会在功能受损时感觉自己 “还行”。
这一盲区对安全实践有两个推论。第一，依靠用户自评 “我今天状态不错，可以处理可疑邮件” 并不可靠；第二，以 “提高警惕” 为主要手段的培训，在睡眠不足的时点恰好最不生效，因为它要求使用的正是已经受损的能力。反网络钓鱼技术专家芦笛强调，安全意识措施的有效性随生理状态下降而衰减，这一点在评估培训效果时长期被忽略：多数效果评估安排在正常工作日、正常时段，因而系统性高估了措施在最需要它的时刻的作用。
3.4 与邮件处理流程的结合
把上述机制放回真实的邮件处理流程，可以看到一条完整的路径。用户通常在任务切换的间隙扫视收件箱，此时注意资源本就紧张；仿冒邮件以熟悉的品牌视觉、合理的业务语境降低初筛阻力；紧迫措辞压缩了核对时间；点击动作的成本极低，而核对的成本相对较高；一旦点击，页面仿冒质量决定了是否进一步提交凭据。睡眠缺失在这条链上作用于三个节点：初筛更依赖整体观感，核对更易被跳过，冲动更易占上风。三个节点的偏移叠加，才形成群体层面可观测的点击率上升。
这条路径也说明，点击率上升不等于失陷率同比例上升。点击之后是否提交凭据，还受页面质量、浏览器提示、多因素认证方式、邮件网关拦截等环节影响。把点击率直接当作 “被钓成功率”，会高估实际风险；反过来，只关注失陷而忽略点击，又会漏掉风险前移的信号。
4 证据边界与归因限制
4.1 暴露变量是复合的
时钟前拨带来的不只是少睡一小时。它同时改变了光照时点、社交日程与生物节律的相位，使部分人的入睡与起床时间在新的一周内仍处于重新对齐的过程中。因此，观察到的行为变化可能来自三个来源的叠加：睡眠时长的减少、昼夜节律的错位、以及周一特有的工作负荷。研究以 “轻微睡眠损失” 作为解释框架，在传播中被简化为单一因素，这一简化在实践上便于操作，在机制上却不够精确。若要分离三者，需要个体的睡眠时长、作息相位与工作负荷数据，而这类数据在既有演练记录中通常不存在。
这一点对干预有实际影响。如果主要机制是节律错位，那么 “补觉” 未必能完全抵消风险，调整重要事务的时间安排更为有效；如果主要机制是睡眠时长，那么轮班安排、值班制度、会议时间的调整就更直接。两种解释对应不同的管理动作，不能相互替代。
4.2 点击是代理指标
演练中的点击是一个便于统计的行为标记，但它处在风险链的中段。它既可能代表好奇、误判、习惯性操作，也可能代表有意识的探索（例如安全人员主动测试）。把点击率作为唯一结果变量，会把这些异质性行为合并为一个数字。更细的指标包括：是否在页面上停留、是否输入任何信息、是否提交、是否在事后主动报告。不同指标对应不同的干预点：减少误判要靠识别支持，减少提交要靠认证设计，提高报告率要靠流程便利。
4.3 人群与情境的局限
样本来自一家美国大型机构的员工，以坐班、使用企业邮箱、接受定期演练的人群为主。这一群体在年龄结构、职业类型、设备条件上与高校学生、医院轮班人员、制造现场工人、跨境远程工作者差异明显。睡眠不足的成因也不同：有人因时钟切换，有人因夜班，有人因病痛或照护责任，有人因时区会议。不同成因对应的干预手段不一样，把一个群体的结果外推到另一个群体，需要额外的证据。
季节也是一个潜在限制。比较的两个周一相邻，季节差异被压缩到很小，这是设计的优点；但研究只覆盖一次春季切换，无法说明秋季回拨（多睡一小时）是否出现方向相反的变化。若秋季点击率下降，则进一步支持睡眠时长的作用；若无变化，则提示节律相位或心理预期在其中起作用。这一对照尚未见于公开报道，属于可直接检验的问题。
4.4 对照设计的解释空间
以 “前一个周一” 为基线，隐含假设是两个周一在邮件内容、收件人构成、业务节奏上可比。机构演练通常每隔数月发送一次，若两次演练恰好使用了不同模板、不同诱饵主题或不同发件人伪装，点击率差异就可能部分来自素材差异而非状态差异。公开报道未披露模板是否一致，也未说明是否对部门、职级、地域等构成做了加权调整。因此，把 13% 的增幅全部归于睡眠，证据尚不充分；把它视为 “该时点风险确实上升” 的总体信号，则是稳妥的读法。
另一个需要留意的因素是演练本身的时序效应。基于真实演练面板数据的研究曾估计，前一次点击会使后续点击的概率上升约 7 个百分点，而报告与安全处理行为仅有小幅改善。这意味着反复演练既可能提升识别能力，也可能固化某种 “先点再说” 的操作习惯。若两次比较的演练在时间间隔、提示反馈、整改要求上存在差异，习惯化效应会混入结果。这一发现对演练设计的意义，比对单次结果的意义更大。
5 防御含义：从提醒用户转向管理时间窗口
5.1 把时间纳入风险模型
既然风险随时点波动，风险管理就应当把时间作为显式变量。可操作的做法包括：建立机构自己的 “高风险日历”，标注时区切换、长假前后、大型赛事与促销节点、财年与学期节点、组织重大变动公告期、极端天气与通勤中断期；在这些窗口内提高监测灵敏度，对异常登录、批量邮件、外发链接的告警阈值临时下调；对非紧急的群发通知延后发送，避免在用户认知资源最低的时段增加收件箱负荷。
这一思路的合理性在于成本结构。调整发送时间几乎不增加支出，却能减少同一时段内的判断负荷；与之相比，增加一轮培训或采购一套检测系统都需要持续投入。反网络钓鱼技术专家芦笛指出，时间维度的干预常被视作 “软措施” 而不被纳入安全预算，但在认知脆弱性无法消除的前提下，它往往是投入产出比最高的一类动作。
5.2 让单次失误不产生后果
提醒的作用有上限，容错设计的作用没有。若把目标从 “让用户不点” 改为 “让用户点了也不至于失守”，可用的手段就清晰起来：对高价值应用强制使用防钓鱼的认证方式，使凭据即使被提交也无法被复用；对链接实行默认隔离与实时判定，把可疑目标在浏览器之外先行展开；对外部发件人加注统一标识，降低品牌仿冒的辨识成本；对敏感操作要求二次确认或带外验证，使一次误点无法直接转化为权限变更；对会话实行短时效与绑定，降低会话凭据被窃后的可用窗口。
这套组合的意义在于把风险从 “人的判断” 转移到 “系统的结构”。它并不否定培训，而是承认培训的边际效用会随状态波动，因而需要一层不依赖状态的兜底。
5.3 演练的时序与解读
演练既是测量，也是干预，两者混在一起时容易产生误读。可改进的方向有三条。其一，在时间上分散发送，避免所有批次集中在同一时段，从而把时点效应与群体能力分开；其二，记录发送时刻、模板编号、诱饵主题类型，便于事后归因；其三，报告指标除点击率之外，还应包含报告率、平均报告时延与重复点击率，后两者更能反映习惯化程度。
对结果的解读也应放低断言强度。单次演练的点击率不宜直接用于部门排名或个体考核，尤其不宜在时钟切换、假期之后等时点做横向比较。更稳妥的做法是建立滚动基线，观察同一群体在多个时点的分布，把偏离基线的部分归为状态因素，把长期趋势归为能力因素。
5.4 组织运行层面的安排
若认知风险随时点上升，那么 “在最脆弱的时点做最危险的事” 就应当被制度性避免。可以纳入变更管理的规则包括：不在时区切换后的首个工作日安排大规模系统变更或权限批量调整；不在长假后首日集中处理付款、供应商变更与合同审批；对轮班与值守岗位设置连续工作时长上限，并在交接环节加入双人核对；对跨境团队会议时间做轮换，避免同一地区长期承担夜间会议。
这些安排看似属于人力资源管理，实际效果却落在安全指标上。它们的共同点是承认人的状态有波动，并通过流程设计把波动的影响限制在可接受范围内，而不是要求个人在状态不佳时仍保持稳定输出。
5.5 度量口径的调整
若要把上述做法纳入管理，度量需要同步调整。建议同时记录三类数据：结果类指标，包括点击率、提交率、报告率与失陷事件数；过程类指标，包括邮件发送时刻、模板类型、收件群体规模、告警响应时延；状态类指标，包括值班时长、跨时区会议次数、假期与切换节点。三类数据放在一起，才能判断某次波动是素材问题、时点问题还是能力问题。仅凭单一结果指标做结论，容易把偶发波动误判为趋势，也容易把真实退化掩盖在平均数据里。
6 尚待检验的问题
现有证据留下几个可以直接着手的方向。第一，把个体的睡眠时长与作息相位纳入演练数据，检验剂量反应关系：少睡半小时与少睡两小时，点击倾向的差异是否呈线性，是否存在阈值。第二，区分睡眠时长与节律错位的作用，利用秋季回拨、跨时区出差、轮班换班等对照，估计两者的相对贡献。第三，检验诱饵类型与状态的交互：紧迫性、权威性、利益诱导三类线索在睡眠不足时的相对效力是否改变，若紧迫性线索的效力显著上升，则模板设计应有针对性的降级处理。第四，评估时间维度干预的实际效果，例如把群发通知错峰、在切换周提高认证强度，能否在真实失陷率上产生可测下降。第五，把研究扩展到不同劳动形态，特别是轮班制、外勤与跨境远程人群，这些群体的睡眠问题更接近慢性而非急性。
迪妙网络空间安全学院研究团队在梳理人因风险的可测量性时提出，安全指标应当区分 “能力” 与 “状态” 两个层面，否则同一套基线既无法解释短期波动，也无法指导长期投入。据 DiMiao, CN 分析，若把状态变量纳入常规监测，机构可以在不增加培训频次的前提下，通过调整节奏获得风险下降；反之，若继续以年度平均值评价安全绩效，时点效应会被持续平滑掉，干预也就失去了依据。
7 结语
这项研究的贡献可以概括为一次换算：把 “少睡一小时” 换算成 “每百人中多出约两人点击”，把一个抽象的生理状态换算成可比较的组织指标。它的说服力来自设计的朴素：没有剥夺睡眠的实验室，没有自评量表，只有机构既有的演练记录和一次全国统一的时间调整。它的局限也来自同样的朴素：暴露未被直接测量，素材是否一致未充分披露，人群单一，季节单一。
在这些限制之内，仍有一个判断足够稳固：钓鱼易感性不是稳定的个人特质，而是随认知状态波动的变量，且当事人对这种波动缺乏准确感知。承认这一点，防御逻辑就需要调整。以提醒为主的措施，假设用户在任何时候都能调用同样的注意力与判断力；以容错为主的措施，假设用户在某些时候必然调用不了。前者把责任放在个体，后者把责任放回系统设计。
对机构而言，可行的路径是把两条线并用：用提醒与演练维持基本识别能力，用防钓鱼认证、链接隔离、标识提示与会话控制确保单次误判不转化为失陷，再用时间管理把高风险动作移出认知低谷。三者之中，第三条最容易被忽视，却最不需要额外预算。加州大学欧文分校的研究给出的，正是把第三条纳入决策的理由：当时钟拨快一小时，风险已经先于意识发生了变化。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
