群里的一句“收到”

部门群里发了一条通知，要求大家点开一个链接填写信息。第一个回复“收到”，第二个跟着“收到”，然后是一串“收到”。

你点开看了一眼，链接跳转的页面不是公司域名，表单里还要填身份证号。你觉得不对，但在三十几个“收到”后面，你打了一句“收到”。

表单填完第三天，陆续有人接到诈骗电话，对方能准确报出姓名、身份证号和部门。

事后追溯，第一个“收到”的人是照着通知做的，通知本身是假的。

那个实验

1951 年，所罗门·阿希在斯沃斯莫尔学院做了一系列实验，研究人在群体压力下会不会否定自己的判断。

实验是这样的：七个人坐成一排，看两张卡片。第一张上有一条标准线，第二张上有三条长度不同的线，分别标着 A、B、C。任务是大声说出哪一条和标准线一样长。

前六个人是提前安排好的托儿。在大部分试次里，他们异口同声地说出一个明显错误的答案。比如标准线是 10 厘米，三条比较线分别是 10、5、8 厘米，托儿们一起说“B”。

第七个人是真正的被试。他要在一群人说错的情况下，说出自己看到的结果。

结果是，大约 75% 的被试至少跟着说错了一次，全体被试在全部试次里有 37% 的回答是从众的。也就是说，即使答案摆在眼前，仍有超过三分之一的时候，人选择了跟着别人说。

两种从众

阿希和其他研究者后来把从众分成两类。

一类叫规范性影响：我知道他们错了，但我不想显得格格不入，所以我跟着说。这类从众改的是嘴，不是判断。

另一类叫信息性影响：我开始怀疑自己，也许是我看错了，这么多人总不至于都错。这类从众改的是判断本身，危害更大。

实验里有个细节支持这个区分：如果让被试私下写答案，而不是当众说，从众率会明显下降。说明很大一部分人是被“当众”这个条件推动的，而不是真的信了。

阿希还试过一个变体：只要有一个托儿说出正确答案，被试的从众率就会大幅下降。一个同盟者就够，不需要多数。

现实里的版本

第一个版本是群里的接龙。安全通知、钓鱼演练、信息填报，只要有几个人先回“收到”，后面的人就会跟上，而且很少有人会去核对链接。

第二个版本是部门里的默认做法。“我们一直这么干的”“上一任也是这么配的”“大家都这么设置”，这些话在安全评审里经常出现。它们不是论证，但它们很有效，因为质疑它等于质疑所有人。

第三个版本是事故现场。出了事，第一反应往往是看别人怎么处理，而不是看日志。如果所有人都说“应该是网络问题”，那就没有人去查主机。

为什么在安全上特别危险

因为安全的很多判断，本来就需要逆着多数人做。

发现异常的人通常是少数。一个账号在凌晨三点从境外登录，一个服务突然开始对外大量连接，一个文件被改了权限，这些信号在一开始都很弱，而且只有一个人看到。

如果这个人第一反应是“可能是我多想了，别人都没说”，这个信号就消失了。攻击者最喜欢的环境，就是所有人都默认“没事”的环境。

图一

图一：阿希实验的题面与结果。

怎么减少从众

第一条是匿名。开会讨论安全事件时，先让每个人独立写判断再汇总，不要一上来就公开表态。第一个发言的人会锚定后面所有人。

第二条是明确指定反对者。有的团队在评审会上专门安排一个人负责挑毛病，这个角色的存在会让其他人更容易说出不同意见。阿希实验里那个“一个同盟者”的作用，就是这个。

第三条是把“大家都这么做”从理由里剔除。评审时问一句：这个配置的依据是什么，是文档、是测试、还是别人也这么配。第三种不算依据。

第四条是奖励报告异常的人。如果报告异常的人被反复证明是“多想了”，下次就没人报。反过来，哪怕十次里有一次是真的，也要把这个结果说出来。

最后

阿希实验里，被试最后要面对的是一个很具体的问题：你明明看见了，为什么说没看见。

现实里的版本没有这么清楚，因为多数时候，人不是看见了说没看见，是在看见的那一刻就开始怀疑自己。