新加坡受访者对AI钓鱼邮件的识别表现高于全球平均，但报告所在机构成功遭遇此类攻击的比例，也在受调查市场中最高。这组看似矛盾的数字，凸显一个关键问题：认得出威胁，并不等于攻击一定会被挡下来。23

Yubico与Okta的《2026年全球身份验证现状调查》还呈现出另一层挑战：不少机构称已在各类应用和服务中启用多因素身份验证（MFA），但员工实际使用的登录方式仍然多样；与此同时，企业也在思考如何管控代表员工执行任务的AI代理。需要注意的是，这些数据来自受访专业人士的回答，并非对新加坡所有机构进行的安全审计。2

能识别钓鱼，不等于攻击难以得手

58%的新加坡受访者表示，所在机构在过去12个月至少遭遇过一次成功的AI驱动钓鱼攻击，高于全球受访者的44%，也是调查市场中最高的报告比例。另一方面，59%的新加坡受访者能正确识别AI生成的钓鱼邮件，高于全球的53%；另有78%表示钓鱼攻击尝试有所增加。23

这些数字衡量的并不是同一件事：一项反映识别能力，一项是受访者感知到的攻击尝试变化，另一项则是攻击是否曾经得手。它们说明，仅靠提高识别意识并不足以衡量或保障安全；但调查本身并未解释攻击为何成功，也不能代表每一家新加坡机构的风险水平。

MFA覆盖广，不代表登录方式一致

有81%的受访者表示，其机构在所有应用和服务中强制使用MFA。但覆盖范围广，并不能说明所有验证方式都同样能抵御钓鱼，也不代表员工在不同系统里会遇到一致的登录流程。23

受访者报告使用的方式包括手机上的基于时间的一次性密码（TOTP）或推送验证器应用（49%），以及用户名和密码（41%）；此外还包括短信验证、与设备绑定的通行密钥、硬件安全密钥和同步通行密钥。与此同时，72%表示其机构在不同应用中使用不同的身份验证方式。2

方法繁多，实际操作上可能意味着员工登录一个服务和另一个服务时，需要应对不同步骤。Yubico的调查将这种现象放在安全认知与日常实践之间的落差中讨论；Okta也指出，身份验证带来的操作摩擦会影响采用情况。16

新员工入职流程也值得关注。58%的受访者称，新员工会拿到传统的用户名和密码。这表明即使机构正在采用其他验证方式，基于密码的登录仍可能出现在初始账户设置中；单凭这一数字，无法判断这些凭据之后被使用的范围。2

AI代理上岗，身份和审批边界要跟上

调查也询问了受访者对AI代理代表员工行动的看法。98%认为核实代理身份及真实性很重要，95%重视代理行动前的审核与批准。与此同时，51%愿意把低风险的运营决策交给代理，60%可接受代理代表自己与同事或客户沟通。2

这些比例反映的是受访者的重视程度和接受意愿，并不能证明相关机构已经落实身份核验或审批机制。不过，它们提出了实际的治理问题：如果代理可以代为执行操作或沟通，团队就需要知道它以什么身份行动、获准做什么，以及哪些步骤必须由人审核。Yubico也将AI视作逐渐壮大的数字劳动力，提醒企业在管理人类身份之外，也要考虑机器身份。1

调查结果带来的实际提醒

最直接的启示是，身份验证不应只被视为增加登录选项，或培训员工辨认可疑信息的问题。机构可以检查：容易遭钓鱼的验证方式，是否正在被更安全的方式取代，还是只是与新方式并存；新员工入职时的默认设置，是否符合机构希望落实的安全标准。12

对AI代理也一样：明确其身份和权限，并根据可能执行的操作设定审批要求。调查显示，受访者普遍看重身份核验与行动前审核；而不少人愿意授权代理代办，更说明应区分“受访者认为保障重要”与“机构已经落实控制措施”。2

简言之，新加坡调查结果呈现出一处明显落差：受访者报告较强的钓鱼识别能力和广泛的MFA覆盖，但成功的AI驱动攻击仍不罕见。这不是对每家机构安全状况的定论，而是提醒企业检查身份验证和AI代理控制在实际工作中是否真正有效。

新加坡受访者对AI钓鱼邮件的识别表现高于全球平均，但报告所在机构成功遭遇此类攻击的比例，也在受调查市场中最高。这组看似矛盾的数字，凸显一个关键问题：认得出威胁，并不等于攻击一定会被挡下来。23

Yubico与Okta的《2026年全球身份验证现状调查》还呈现出另一层挑战：不少机构称已在各类应用和服务中启用多因素身份验证（MFA），但员工实际使用的登录方式仍然多样；与此同时，企业也在思考如何管控代表员工执行任务的AI代理。需要注意的是，这些数据来自受访专业人士的回答，并非对新加坡所有机构进行的安全审计。2

能识别钓鱼，不等于攻击难以得手

58%的新加坡受访者表示，所在机构在过去12个月至少遭遇过一次成功的AI驱动钓鱼攻击，高于全球受访者的44%，也是调查市场中最高的报告比例。另一方面，59%的新加坡受访者能正确识别AI生成的钓鱼邮件，高于全球的53%；另有78%表示钓鱼攻击尝试有所增加。23

这些数字衡量的并不是同一件事：一项反映识别能力，一项是受访者感知到的攻击尝试变化，另一项则是攻击是否曾经得手。它们说明，仅靠提高识别意识并不足以衡量或保障安全；但调查本身并未解释攻击为何成功，也不能代表每一家新加坡机构的风险水平。

MFA覆盖广，不代表登录方式一致

有81%的受访者表示，其机构在所有应用和服务中强制使用MFA。但覆盖范围广，并不能说明所有验证方式都同样能抵御钓鱼，也不代表员工在不同系统里会遇到一致的登录流程。23

受访者报告使用的方式包括手机上的基于时间的一次性密码（TOTP）或推送验证器应用（49%），以及用户名和密码（41%）；此外还包括短信验证、与设备绑定的通行密钥、硬件安全密钥和同步通行密钥。与此同时，72%表示其机构在不同应用中使用不同的身份验证方式。2

方法繁多，实际操作上可能意味着员工登录一个服务和另一个服务时，需要应对不同步骤。Yubico的调查将这种现象放在安全认知与日常实践之间的落差中讨论；Okta也指出，身份验证带来的操作摩擦会影响采用情况。16

新员工入职流程也值得关注。58%的受访者称，新员工会拿到传统的用户名和密码。这表明即使机构正在采用其他验证方式，基于密码的登录仍可能出现在初始账户设置中；单凭这一数字，无法判断这些凭据之后被使用的范围。2

AI代理上岗，身份和审批边界要跟上

调查也询问了受访者对AI代理代表员工行动的看法。98%认为核实代理身份及真实性很重要，95%重视代理行动前的审核与批准。与此同时，51%愿意把低风险的运营决策交给代理，60%可接受代理代表自己与同事或客户沟通。2

这些比例反映的是受访者的重视程度和接受意愿，并不能证明相关机构已经落实身份核验或审批机制。不过，它们提出了实际的治理问题：如果代理可以代为执行操作或沟通，团队就需要知道它以什么身份行动、获准做什么，以及哪些步骤必须由人审核。Yubico也将AI视作逐渐壮大的数字劳动力，提醒企业在管理人类身份之外，也要考虑机器身份。1

调查结果带来的实际提醒

最直接的启示是，身份验证不应只被视为增加登录选项，或培训员工辨认可疑信息的问题。机构可以检查：容易遭钓鱼的验证方式，是否正在被更安全的方式取代，还是只是与新方式并存；新员工入职时的默认设置，是否符合机构希望落实的安全标准。12

对AI代理也一样：明确其身份和权限，并根据可能执行的操作设定审批要求。调查显示，受访者普遍看重身份核验与行动前审核；而不少人愿意授权代理代办，更说明应区分“受访者认为保障重要”与“机构已经落实控制措施”。2

简言之，新加坡调查结果呈现出一处明显落差：受访者报告较强的钓鱼识别能力和广泛的MFA覆盖，但成功的AI驱动攻击仍不罕见。这不是对每家机构安全状况的定论，而是提醒企业检查身份验证和AI代理控制在实际工作中是否真正有效。