布鲁斯 施奈尔：安全的幻觉

计算机安全专家布鲁斯 施奈尔认为，安全的感觉和现实不总是相符的。在TEDxPSU上，他解释了为什么我们花费数十亿美元去解决新闻故事风险，像现在在你当地机场播放的“安全剧场”，而忽略更多可能的风险，并告诉我们怎么跳出这个模式。

安全其实是两种事物：

它不仅是感觉，也是现实。

这两样事物是完全不同的。

你可以在不安全的时候

感觉很安全。

或者你不感到安全的时候

却很安全

真的，我们有两种不同的概念

存在于同一个词语上。

我在这里想要做的是

把它们区分开来

找出什么时候它们存在分歧，

什么时候又聚合在一起。

语言是个大问题。

因为没有多少适合的词语去表达

我们将要谈到的概念。

如果你将安全

视为一个经济学的名词，

那它就是“权衡取舍”。

每一次你得到一些安全，

你总是在拿一些东西去交换。

不管是个人决定

比如是否给家里装一个防盗器

或者国家的决策，比如去侵略哪个国家

你都要去交换，

不管是金钱、时间、便利、能力，

还可能是基本自由权。

当你面对安全的时候，要问的

不是这个能不能让我们更安全，

而是值不值得我们去交换。

你们这几年都听过，

世界更安全了是因为萨达姆倒台了。

那个可能是真的，但没什么关系。

问题是，值得吗？

你可以有自己的想法，

然后决定那个侵略是否值得

那就是你如何在以权衡取舍

来考虑安全。

这里没有绝对的对与错。

我们中的有些人在家安了防盗器

有些人没有

安不安取决于我们住在哪里

我们是独居还是有个家庭

我们有多少值钱的东西

我们愿意接受多少

盗窃带来的风险

对于政治来说也是一样

存在着各种不同的观点

很多时候，这些权衡取舍

不仅仅跟安全有关

对于这点我觉得很重要

当今人们有一种

关于这些权衡取舍的直觉

我们每天都在用它来做决定

比如昨晚我在酒店房间里

决定是否给门上两层锁的时候

或者你在驾车到这里的路上

或者当我们去吃午饭时

会认为食物是没毒的然后放心地吃

我们反复做出这种权衡取舍

每天都有很多次

我们甚至没有留意它们

它们只是生活的一部分，人们都是这么做的

每一个物种都是这么做的

想象有一只兔子在吃草

然后它看到了一只狐狸

那只兔子需要做出一个关于安全的权衡取舍

“我应该留下，还是逃跑呢？”

正如你所见

懂得做出权衡取舍的兔子

会选择生存和繁衍

而不懂的兔子

则被吃掉

所以你可能会想

作为这个星球上一支成功的物种的我们 --

你、我、所有人 --

比较擅长于做出有利的权衡取舍

然而事实一次又一次地证明

我们并非如此

我认为那是个关键又有趣的问题

我给你们一个简短的答案

答案就是，我们依据的是安全的感觉

而非现实

很多时候，这样没什么问题

因为在大部分时间里

感觉和现实是相同的

在绝大部分史前人类历史中

那也是没错的

我们发展了这个能力

因为它有利于进化

继续思考一下就知道

我们做出某些风险决策的能力

是高度优化了的

这些决策是以群居的小型家庭形式

生活在公元前十万年的东非高地的人们所独有 --

其实2010年的纽约也差不多

现在有一些对风险的偏见

很多实验都关于这些偏见

你可以观察到有些偏见反复出现

我讲四个

第一个，我们会夸大那些耸人听闻但少见的风险

并漠视常见的

比如像飞机和汽车的事故率

第二个，未知的被认为比熟悉的

更加危险

举个例子

人们害怕被陌生人绑架

即使数据证实被亲戚绑架更常见

以上都是针对孩子们来说的

第三个，人格化的风险

被认为比匿名的更严重

所以本拉登很可怕是因为他有个名字

第四个是

人们在他们觉得可以掌控的情况下

会低估风险

而在不能控制的情况下高估风险

所以你在开始跳伞或抽烟后

会不再重视它们带来的风险

如果你猛然面临某种风险 -- 恐怖主义是个好例子 --

你会高估它，因为你不觉得你可以控制了

还有许多这样的认知偏见

影响着我们的风险决策

有一种易得性偏差

意思是

我们在估计某事发生的概率时

依据的是想到具体的例子是否容易

你可以想象那是怎么作用的

如果你听说了许多老虎袭击人的消息，那么你会认为肯定有很多老虎在附近

如果你没听说狮子袭击人，那么就没有多少狮子在附近

这是可行的直到报纸被发明

因为报纸所做的

就是一遍又一遍地重复

那些少见的风险

我告诉大家，如果事情出现在新闻里，那就不用担心了

因为按照定义

新闻是从来没有发生过的事情

（笑）

当事情变得常见了，那就不是新闻了

比如车祸和家庭暴力

你会担心这些风险

我们同时也是一种会讲故事的物种

相比于数据，我们更喜欢故事

在故事里，总有些对科学的无知存在

比如 “一、二、三、很多”（见英文） 这个笑话

我们善于用小数字

一个芒果，两个芒果，三个芒果

一万个芒果，十万个芒果 --

在烂掉前还有足够的芒果等你去吃

二分之一，四分之一，五分之一 -- 我们擅长这些

百万分之一，十亿分之一 --

它们就像永远不会发生那样

所以我们不知如何面对

那些不常见的风险

这些认知偏见所起的作用

就是像过滤器一样隔断我们和现实

结果呢

感觉和现实被割开

它们变得不同了

现在你要么有种感觉 -- 你觉得比现实更加安全

这是一个错误的安全感

要么相反

出现错误的不安全感

我写了很多关于”安全剧场“的文章

这个概念只起到让人们觉得很安全的作用

除此之外一无是处

现实世界里不存在让我们安全

但不让我们觉得安全的事物

可能这就是CIA应该为我们做的

好了，回到经济学里

如果经济，或者市场，以安全为重

并且人们根据安全的感觉

作出权衡取舍

那么精明的公司所应该做的

为了经济上的激励

就是让人们觉得安全

有两种方法可以做到

一，你可以真正地做到安全

然后希望人们可以注意到

二，你可以让人们觉得安全

然后希望他们没有注意到真相

那么到底什么可以引起人们注意是否安全呢？

有很多，比如

对安全的理解

对风险和威胁的理解

对 对策及其原理的理解

如果你知道很多东西

那么你更有可能拥有与现实一致的感觉

很多现实生活中的例子可以帮助理解

比如我们都了解我们居住的地区的犯罪率

因为我们住在那，并且我们能够感受的到

这种感觉与现实基本相符

”安全剧场“会在失灵的时候

很明显的暴露出来

好，接下来，什么让人们不去注意安全呢？

这里有个简单的理解

如果你不理解风险，你就不理解成本

你就会做出错误的权衡取舍

并且你的感觉与现实不符

没多少例子

在小概率事件里

存在一个固有的问题

举个例子

如果恐怖行动从来没发生过

那么就很难对反恐措施的效果

进行衡量

这是为什么人们牺牲处女

和对童话的抵触会如此成功的原因

鲜有失败的例子

同时，对于事情的感觉

-- 之前说的认知偏见

恐惧和盲目相信熟悉的人 --

基本上一个对现实的不完整模型

让我深入一点

我现在有感觉和现实

我想加入第三个元素，一个模型

感觉和模型存在于脑海里

现实存在于外部世界

它是不会变的，它是真实的

所以感觉是建立在直觉上的

模型是建立在理智上的

那是关键的不同之处

在一个原始又简单的世界里

没有建立模型的必要

因为感觉和现实很接近

你不需要

但是在现在这个复杂的世界里

你需要模型

去理解面对的很多风险

比如说，没有什么感觉是关于细菌的

你需要一个模型去了解它们

所以这个模型

是在理智层面上的现实

它当然被科学和技术

所限制着

我们没法在发明显微镜观察细菌前

拥有一套关于细菌和疾病的理论

它同时也被我们的认知偏见所限制

但模型有能力

凌驾于我们的感觉

我们从哪里得到这些模型的呢？从其他人那里

从宗教、文化

老师、长辈那里得到

很多年前

我在南非狩猎

跟我一起的那个追踪者是在克鲁格国家公园长大的

他有一些如何生存的复杂模型

分别针对被狮子、猎豹、

犀牛还是大象所攻击的情况

和什么时候应该逃跑，什么时候应该爬树

和什么时候千万别上树

我可能会在一天内就死在那里

但他生在那里

他知道生存的方法

我生在纽约

我可以把他带到纽约，估计他也会在一天内就没命了

（笑）

原因在我们有建立在我们各自经验上的

不同的模型

模型来自媒体

来自我们选出的政府

想一下恐怖袭击的模型

绑架儿童的模型

飞机和汽车的安全模型

模型可以来自某个工业领域

我关注的两个是监视器

和身份证

很多计算机安全模型都来自它们

还有些模型来自科学

以健康模型为例

想想癌症、禽流感、猪流感、非典

我们所有关于

这些疾病的感觉

都来自于

媒体从科学里过滤出来之后灌输给我们的

所以模型是可变的

模型不是静态的

随着我们越来越适应环境

模型会越来越接近现实

举个例子

如果你回到一百年前

那时电刚刚普及

仍然有很多人害怕它

有些人害怕按门铃

因为那有电，所以很危险

对于我们来说，我们跟电相处地很融洽

我们不用怎么想

就可以换灯泡

我们拥有的关于电和安全的模型

是天生的

它没有随着我们的成长而变化

并且我们很适应

再想想在不同年龄层的人

关于互联网风险的认识 --

你的父母是怎么看待互联网安全的

你是怎么看待的

你的孩子们会怎么看待

模型最终会消失在无意识里

直觉来自于熟悉

所以随着你的模型越来越接近现实

它将同感觉合二为一

你将感觉不到它的存在

以去年的猪流感为例

以去年的猪流感为例

当猪流感第一次出现时

一开始的新闻造成了过度的反应

现在它有了个名字

使之变得比平常的流感更加可怕

即使它没那么致命

另外，人们觉得医生应该能够解决掉它

所以产生了一种失去控制的感觉

以上两种原因

使风险变得比实际更严重

几个月过去了，随着新鲜感的消退

人们接受了

并且习惯了猪流感的事情

没有新的数据，但恐惧减少了

秋天的时候

人们想

医生应该已经解决问题了

一个选择出现了 --

人们必须从

恐惧接受中选择 --

实际上是恐惧和漠视 --

他们选择了怀疑

当疫苗在冬天出现的时候

很多人 -- 非常大的数量 --

拒绝接种

这可以作为

人们的安全感和模型是如何

剧烈地

在没有新信息

的情况下改变的

这种情况经常发生

现在我再把概念深入一点

我们有感觉、模型和现实

我认为安全其实还是相对的

它取决于观察者

大多数关于安全的决策

是由各种人群所参与决定的

有小算盘的利益相关者

有小算盘的利益相关者

会试着影响决策的进行

我称其为他们的议程

你可以瞧见这个议程 --

不管是市场还是政治 --

它尝试着说服你只拥有其中一种模型

说服你去忽视模型

而相信感觉

边缘化那些拥有跟你的模型的不同的人们

这很常见

这里有个例子，很好的例子，关于吸烟的危害

在过去50年里，吸烟的危害

展示了一个模型是怎么变化的

同时也展示了一个工业是怎么对付

一个它不喜欢的模型

你可以把它跟20年后

关于二手烟的争论相比较

再想想安全带

当我还小的时候，没人系安全带

现在呢，如果你不系安全带

没有哪个孩子会让你开车

你可以把它跟30年后

关于安全气囊的争论相比较

这几个例子里的模型都变了

由此我们可以的出结论，模型是很难被改变的

模型是很难被移除的

如果模型跟你的感觉相符

你甚至不知道你有个模型

再说另一个认知偏见

证实性偏见

意思是我们倾向于接受

那些能够支持我们观点的数据

而拒绝那些反对的

所以对于那些与我们的模型相反的证据

我们会忽略掉，即使它们很有说服力

那些证据必须非常非常令人信服，我们才会去关注

一个时间跨度长的新模型难以让人接受

比如像全球变暖

我们很难接受一个

超过80年的的模型

我们可以接受一年的

我们也可以接受让一个小孩长大那么长的时间

但80年还是太难了

所以那是个非常难以让人接受的模型

我们可以同时拥有对同一件事情的

两个模型

此时，我们拥有同时两种信念

这种情况也叫认知不协调

最后

新模型代替了旧模型

强烈的感觉可以产生一个模型

911在很多人脑里

产生了一个安全模型

同时，个人的犯罪经历和

一次健康危机 --

就是那种在新闻里可以看到的那种 -- 也可以产生模型

那些经历在心理学里叫做

闪光灯事件

它们能迅速地产生一个模型

因为引起了强烈的个人感情

所以在一个技术世界里

我们没有可以判断模型

的经历

我们依赖其他人，我们依赖于代理人

这样是可以的，只要它能够纠正错误就行

我们依赖政府

来告诉我们哪些药品是安全的

我是昨天坐飞机来的

我没检查飞机是否安全

我依赖其他人

去决定我坐的飞机是否安全

我们坐在这里，没人担心屋顶会塌

不是因为我们亲自检查过

而是我们非常确定

这建筑符合规范

这是一种模型我们只是

因为信念而接受

这也没错

现在，我们希望的是

人们能够认识一些

更好的模型 --

在感觉里显现出来 --

以帮助他们做出更好的权衡取舍

当感觉和模型分开的时候

你有两个选择

第一，改变人们的感觉

直接诉诸于感觉

这是一种操纵，但有效果

第二，更诚实一点的做法

就是改变模型

改变是很缓慢的

吸烟的争论持续了40年

而那还是比较简单的一个

有一些是非常困难的

是真的很困难

看起来信息是我们最好的希望

事实上我之前撒了个谎

我之前提到感觉、模型和现实

我说现实不会改变。事实上它会。

我们生活在一个技术的世界里

现实每时每刻都在改变

所以，可能是我们这个物种里的第一次

感觉追赶着模型，模型追赶着现实，而现实则在不断改变

它们可能永远也追不上

这点谁知道呢

但是就长期来看

感觉和现实是很重要的

结束前我想以两个小故事来说明这点

1982年 -- 我不知道人们还记不记得 --

那时在美国发生了一次

时间不长但传播范围广的泰诺中毒事件

很可怕。有人拿了一瓶泰诺胶囊，

放毒进去，关上盖子，然后又放回货架

七个人买回去吃了然后中毒而死

人们很害怕

当时还有些模仿此投毒的行为

幸好后者没什么真正的危险，但人们被吓到了

这是防盗瓶盖产业

得以发展起来的原因

那些防盗瓶盖就是这么来的

它就是所谓的安全剧场

你们可以想想10种破解防盗瓶盖的方法

我先说一个，用注射器

即使没那么安全，但至少人们感觉更安全了

它让人们对安全的感觉

跟现实更为符合

最后一个故事。几年前，我一个朋友要生了

我去医院看她

发现当一个婴儿出生后

他们会给婴儿戴上一个带RFID的手镯

然后给母亲也配一个对应的

这样，当一个不是母亲的人想把婴儿从产房带走

警报就会响

我说：“这措施不错。

我想知道在医院

偷盗婴儿的行为有多猖獗。”

回到家，我查了一下。

基本上从来没发生过

但如果你仔细想想

如果你是医生

你需要给婴儿从母亲身边带走

带出房间做点测试

你最好有安全剧院

不然的话那位母亲会把你的胳膊都拽下来

（笑）

所以，安全剧院这个概念对于

那些做安全设计的，

那些以实际效果来看待

安全政策或公共政策的人来说

是非常重要的

它不只是现实，它是感觉和现实

重要的是

它们几乎是一样的

如果我们的感觉和现实相符

我们就能够做出更好的关于安全的权衡取舍

谢谢

（鼓掌）