夜雨聆风
谁在带坏你的App？当一个App偷偷多拿权限、过度收集用户信息，究竟是开发者不懂规则，还是明知故犯？更重要的是，这种安全问题会不会像技术和创新一样，在同一地区的开发者之间扩散？
来自北京大学光华管理学院的陈玉宇、香港大学经管学院的Jiayi Hou、中国人民大学劳动人事学院的雷子腾在 Journal of Economic Behavior and Organization 上发表的最新论文"App security spillovers in the digital era: Immorality or ignorance?"，将研究对象放在中国移动App安全治理上。
这篇文章关注一个很有现实意义的问题：App安全改进是否会产生同城溢出效应？换言之，当部分App开发者接受安全培训和技术支持后，没有直接参与项目的周边App，会不会也变得更安全？
文章利用中国信息通信研究院自2021年起实施的卓信计划作为准自然实验，结合一家大型网络安全企业提供的App安全检测数据，构建了2020年至2023年间37429个App、超过112万条App月度观测。
研究发现，卓信计划不仅显著改善了参与App的安全水平，还会通过信息传播影响同一区县内的其他App。一个地区中参与卓信计划的App比例提高10个百分点，未参与App的不安全指数下降约1.6%。
研究背景
1. App安全为何值得研究？
在数字经济中，App已经不只是消费品，也是重要的数字基础设施。用户每天通过App支付、社交、办公、娱乐，个人信息也不断在App中生成和流动。
但App安全存在一个典型的信息不对称问题：
用户很难判断App是否越界收集信息。
用户很难知道SDK是否在后台过度获取数据。
用户也很难识别App是否存在安全漏洞。
如果用户普遍担心隐私泄露，却又无法区分安全App和不安全App，市场就可能出现劣币驱逐良币的结果。安全投入高的开发者未必能获得足够回报，不安全App却可能通过降低成本或获取更多数据获利。
2. 好技术会扩散，坏行为会不会扩散？
已有经济学研究大量讨论技术、创新和生产率如何在企业之间扩散。企业集聚在一起，员工交流更多，供应链联系更紧，信息流动更快，因此一个企业的进步可能带动周边企业。
但本文提出了另一面的问题：
如果好技术会扩散，不安全行为会不会也扩散？
如果一部分企业改进安全，其他企业会不会跟着改？
如果隐私违规带有逐利动机，这种道德问题是否也能通过信息传播被纠正？
这正是文章标题中 Immorality or ignorance 的含义。App安全差，可能是因为开发者不知道规则、不懂技术，也可能是因为开发者知道风险，但为了利润选择越界。
制度背景
1. 卓信计划是什么？
2021年3月，中国信息通信研究院开始实施卓信计划，为App开发者提供免费的安全改进支持。该计划主要通过两类方式发挥作用：
信息与规则培训：邀请行业专家、法律专家和政策制定者讲解隐私保护法规，提高开发者对个人信息保护的重视程度。
技术支持与咨询：提供线上线下培训、沙龙、指导会、一对一咨询和安全改进建议，帮助开发者识别并修复安全问题。
截至2022年1月，卓信计划已在约半年内累计培训超过8000名相关企业人员。
2. 为什么适合做实证研究？
卓信计划不是一次性覆盖所有企业，而是分批实施。自2021年3月起，每一批大约纳入100家企业，至2023年5月共实施10批。
这种分批实施为研究提供了清晰的时间差异。作者可以比较：
参与App在参与前后的安全变化。
同一区县中未参与App在本地参与比例上升后的安全变化。
不同地区、不同行业、不同竞争环境下溢出效应是否存在差异。
作者最终将584家参与企业、4602个App匹配到安全检测数据中，由此识别卓信计划的直接效应和间接溢出效应。
数据与变量：如何衡量一个App是否安全？
1. 数据来源
文章使用一家大型网络安全企业的App安全检测数据。该企业为中国监管机构提供App安全技术支持。原始数据覆盖2014年1月至2023年5月市场上规模最大的前5% Android App，约14万个App，覆盖超过80%的市场下载份额。
由于隐私违规检测在2020年之后更完整，作者将主样本限制在2020年至2023年，并进一步剔除从未接受隐私检测的App。最终样本包括：
37,429个App。
1,129,164个App月度观测。
地理位置、类别、下载量、版本更新、安全漏洞、隐私违规等信息。
2. 核心被解释变量：不安全指数
作者将App安全问题分为三类：
App自身的隐私违规行为：这类行为通常发生在App设计阶段，例如强制授权、未经授权使用用户信息、过度收集信息、强制开启定向推送、频繁自启动等。由于这些行为往往可以直接服务于商业变现，作者将其视为更接近有意为之的道德问题。
SDK导致的隐私违规行为：SDK是第三方开发工具包，开发者使用SDK时可能无意中引入过度收集信息等问题。由于这类问题未必直接增加App开发者利润，且开发者可能并不了解SDK后台行为，作者将其视为更接近无知或疏忽导致的问题。
安全漏洞：这类问题可能来自技术能力不足，也可能来自开发者为了节省成本而不修复漏洞，因此同时包含认知问题和道德问题。
作者分别计算三类安全问题的比例指标，并将三者平均，得到总体不安全指数。数值越高，表示App安全问题越严重。
研究设计
1. 直接效应模型
作者首先估计卓信计划对参与App本身的影响。基本思路是比较参与App在进入卓信计划前后的安全变化，并用没有卓信App地区的App作为对照组。
模型中控制了App固定效应和年月固定效应。前者吸收每个App不随时间变化的特征，后者吸收所有App共同面对的时间冲击，例如全国性监管变化。
核心变量是某个App在某月是否已经被纳入卓信计划。该系数衡量卓信计划对参与App安全水平的直接影响。
2. 溢出效应模型
接着，作者剔除所有直接参与卓信计划的App，只保留未参与App，考察它们是否受到本地区参与比例的影响。
核心解释变量是同一区县中已参与卓信计划的App比例。若该比例越高，未参与App的不安全指数下降越明显，就说明安全改进存在地区内溢出。
这一设计的关键在于，未参与App没有直接接受培训和咨询。如果它们也变得更安全，较合理的解释是它们从周边参与者那里获得了信息、经验或行为参照。
3. 工具变量模型
为了进一步估计同伴安全行为对自身安全行为的因果影响，作者还使用卓信计划覆盖比例作为工具变量。
第一阶段，用同一区县卓信计划覆盖比例预测同伴App的平均安全水平。
第二阶段，用被预测的同伴安全水平解释自身App安全水平。
结果显示，同伴App不安全指数上升1个单位，会使自身App不安全指数上升约0.34个单位。这说明App安全行为并非孤立决策，同一区域开发者之间确实存在明显的同伴效应。
实证结果一：参与App安全显著改善
1. 总体安全水平改善
基准结果显示，卓信计划使参与App的不安全指数下降0.1447，相当于样本均值的37%。这说明，提供法规信息和技术支持可以在较短时间内显著改善App安全。
2. 三类问题均有下降
分项来看：
App自身隐私违规行为下降0.1029，相当于均值的33%。
SDK隐私违规行为下降0.2656，相当于均值的44%。
安全漏洞下降0.0656，相当于均值的26%。
这组结果有两个含义：
第一，卓信计划不是只改善某一类表面指标，而是同时影响隐私行为和技术漏洞。
第二，SDK违规的下降幅度最大，说明很多问题确实来自开发者对第三方SDK风险的不了解，一旦信息到位，纠正成本相对较低。
3. 动态效应支持平行趋势
事件研究图显示，在进入卓信计划之前，参与组和对照组在安全趋势上没有明显差异。进入计划之后，参与App的不安全指数迅速下降，并在约6个月后趋于稳定。
作者还使用多种适用于交错DID的稳健估计方法，结果仍然相似。这缓解了一个重要担忧：如果企业是因为本来就准备改善安全才参加卓信计划，估计结果可能被高估。但事件研究结果显示，安全改善主要发生在进入计划之后。
实证结果二：安全改进会向同一区县扩散
1. 未参与App也变得更安全
文章最核心的发现是，卓信计划不仅影响参与App，也影响同一区县内未参与计划的App。当同一区县中参与卓信计划的App比例提高10个百分点时，未参与App的不安全指数下降0.006，约等于样本均值的1.6%。
这个幅度小于直接效应，但具有明确的经济含义。政策只培训了一部分企业，却通过地区内的信息传播影响了更多企业。
2. SDK问题的溢出最强
进一步分解后，作者发现10个百分点的覆盖率提升带来：
App自身隐私违规行为下降约1.3%。
SDK隐私违规行为下降约2.2%。
安全漏洞下降约0.8%。
这说明溢出效应同样存在于三类安全问题中，但强度不同。SDK问题的溢出最大，因为它更接近知识不足和风险识别问题，只要开发者知道哪些SDK不安全，就能较快调整。App自身隐私违规和安全漏洞的改善更难，前者涉及利润动机，后者涉及技术能力和修复成本。
机制分析：信息传播是关键渠道
1. 距离越近，溢出越强
如果溢出来自信息传播，那么离参与App更近的开发者应当更容易受到影响。文章发现，地理距离更近时，未参与App受到的安全改善更明显。这与面对面交流、员工流动、同行沟通等机制相一致。
2. 类型越相似，溢出越强
如果一个未参与App与本地参与App在功能、用户群和业务场景上更相似，它更容易吸收对方的经验。结果显示，相似度越高，溢出效应越强。这说明信息不是泛泛扩散，而是更容易在相关业务之间传播。
3. 明星App更有影响力
作者将本地下载量排名前1%的App定义为明星App。结果显示，当本地参与卓信计划的App中包含明星App时，溢出效应更强，尤其体现在App隐私违规和安全漏洞上。
这说明政策干预不一定只看覆盖数量，也要看覆盖对象。影响力大的节点可能带来更强的外部性。
4. SDK使用行为提供了直接证据
作者进一步使用SDK采纳数据检验机制。结果显示，参与App的风险SDK占比下降7.5个百分点，安全SDK占比上升7.4个百分点。更重要的是，同一区县内未参与App也出现类似变化：风险SDK占比下降3.8个百分点，安全SDK占比上升3.4个百分点。
这说明，安全改善不是简单来自开发者少用SDK，而是从风险SDK转向更安全的SDK。这为信息传播机制提供了更直接的证据。
竞争压力：为什么道德问题更难被带动？
1. 高竞争行业中App安全更差
文章使用App类别层面的下载份额HHI衡量竞争程度。HHI越低，表示市场越分散，竞争越激烈。
描述性结果显示，竞争越激烈的类别，App不安全指数越高，App隐私违规、SDK违规和安全漏洞都更严重。虽然这不是严格因果证据，但它说明市场竞争可能与较低的数字产品质量相关。
2. 高竞争削弱正向溢出
更关键的是，作者发现卓信计划的溢出效应在高竞争类别中更弱。
对于App自身隐私违规行为，卓信计划只在低竞争类别中产生显著溢出。在高竞争类别中，未参与App并不会明显跟随周边企业减少这类违规。
这很重要。App自身隐私违规更接近有意行为，背后可能是数据变现、精准推送和商业收益。即便开发者知道合规要求，也可能因为竞争压力选择继续越界。换言之，信息传播可以减少无知，但未必足以改变逐利动机。
3. SDK问题受竞争影响较小
与此不同，SDK隐私违规的溢出效应不太受竞争压力限制。原因在于，这类问题更多来自不知道SDK存在风险，而不是开发者主动想要违规。一旦信息传开，改用更安全SDK并不一定损害商业利益，因此高竞争也不会明显阻碍改进。
这正是文章区分 immorality 和 ignorance 的核心意义。相同的安全问题表象背后，可能有完全不同的行为逻辑。
参考文献
Chen, Y., Hou, J., & Lei, Z. (2026). App security spillovers in the digital era: Immorality or ignorance? Journal of Economic Behavior and Organization, 248, 107628.
Reading List
往期推荐
Journal of Accounting and Research 2025年发表情况分析！
Journal of Accounting and Economics 2025年发表情况分析！
The Accounting Review 2025年发表情况分析！
NBER：抗日期间国民党为何叛变？——基于2800名国民党军官的分析
顶刊RAS：中国金融机构的旋转门：前官员下海是合规向导还是造假保护伞？
顶刊ISR：社交机器人能促进社交吗？——对微博评论罗伯特的研究
👇点击阅读原文跳转至原文链接~
