同行評議水太深填補出版系統漏洞成當務之急

　　 大部分雜志編輯都知道，邀請一位忙碌的研究人員評議文章有多困難。這也是《酶抑制和藥物化學雜志》編輯誤讓作者——當時就職于韓國東國大學的藥用植物研究人員Hyung-In Moon——評審自己文章的原因。

　　這些評審可能本身并不會受到關注：最有利的是一些有關如何提高論文水平的建議。不同尋常的是他們要多快完成這項工作：通常在24小時內。這有點太快了，上述期刊的主編Claudiu Supuran開始有所懷疑。

　　2012年，他遇到Moon，后者已經承認之所以評審速度如此快，是因為他撰寫了其中的一些內容。進行欺詐并不困難。英國倫敦英富曼集團旗下的《酶抑制和藥物化學雜志》和其他幾本發行物都邀請作者為自己的文章推薦評議者。因此，Moon提供了一些名字，有的是真正的科學家，但也有些是假名，他們偽造了郵件地址，使得郵件能直接發到Moon及其同事那里。Moon的供述致使英富曼集團旗下期刊的28篇文章被撤銷，一名編輯辭職。

　　這并非孤立案件。在過去2年里，期刊被迫撤銷了110多篇論文，其中至少6篇是因為同行評議問題。這些案例的共同點是，研究人員利用出版商計算機系統的缺陷，欺騙編輯接受他們自己審稿的文章。身陷丑聞的包括出版業巨頭愛思唯爾、斯普林格、泰勒與弗蘭西斯、英富曼、SAGE和威利數據庫等。這些安全漏洞甚至讓研究人員極易受到身份盜竊等問題的影響。“全世界成千上萬學者使用的軟件實際上是可怕的。”荷蘭奈梅亨馬普學會語言心理研究所語言學家Mark Dingemanse說。他也使用這些程序出版和評議論文。

　　觀察者認為，應當改變編輯為評審者分配論文的方式，尤其是終止作者推薦評審者。Moon也認為編輯應該防范像他這樣的人。他在2012年8月表示：“作者當然會向朋友尋求幫助，但編輯應當檢查這些人不會來自相同的單位或是以前論文的共同作者。”

　　同行評議鏈

　　Moon案例并非近年來最令人驚訝的同行評議丑聞。2013年5月，時任《振動與控制雜志》主編Ali Nayfeh收到一些麻煩信息。向該期刊遞交論文的一位作者告訴Nayfeh，他收到了兩個自稱該文章評議者的人的郵件。評議者一般不能直接與作者聯系，而且他們使用的是一般的谷歌郵箱，而非學術機構的專門郵箱。

　　Nayfeh向該雜志的主辦者SAGE上報了該問題。這導致了為期14個月的調查，由來自SAGE編輯部、法律部和產品部的20位員工參與。結果顯示，這些谷歌郵箱都與湯森路透的ScholarOne有關聯，這是SAGE和英富曼等若干出版者使用的出版物管理系統。

　　SAGE發言人Camille Gamboa指出，編輯能夠追蹤每篇論文，了解這些賬戶背后的人是作者還是評審者。他們還檢查了評審文案、作者推薦的評審者的詳細信息、參考文獻和評議的轉回時間（一些只有幾分鐘）。這幫助調查者進一步搜尋可疑賬號，他們最終發現了130個賬號。

　　在研究了可疑名單后，SAGE調查者發現異常比例的作者既是評議者也彼此引用。最后，60篇文章被發現存在同行評議賄賂問題。“基于這些發現，我們希望在聯系作者和評議者前，能確保我們盡可能認真地調查了所有的途徑。”Gamboa說。

　　塵埃落定后，結果證明，身處這個關系環中央的是一個名為Peter Chen的作者，那時，他是中國臺灣國立屏東教育大學（NPUE）的一名工程師，他幾乎是所有問題論文的合作者。Gamboa表示，在收到來自Chen的“一系列不滿意回應”后，SAGE聯系了NPUE，提議共同調查Chen的文章。2014年2月，Chen辭職。

　　5月，Nayfeh離開該期刊，SAGE通知60篇受丑聞影響的文章的所有作者，論文可能會被撤銷。Chen未接受采訪，但有消息稱他曾發布聲明，宣布單方面承擔同行評議和引用關系環的所有責任。

　　密碼漏洞

　　Moon和Chen都利用了ScholarOne自動處理的一個特點。當評議者被邀請讀一篇文章時，他們會收到一封包含登錄信息的郵件。如果與偽造的郵件地址進行通訊，無論利用之前提交的哪個名字，接收者都能登錄該系統，并且不需要額外的身份驗證。湯森路透公司產品和市場策略副主席Jasper Simons表示，ScholarOne是一個備受尊敬的同行評議體系，而且邀請合格評議者是期刊和編輯的職責。

　　自然出版集團（NPG）擁有許多使用ScholarOne的期刊，但《自然》雜志和自然子刊等使用eJournalPress研發的不同系統。《自然》執行主編、NPG作者和評議服務主管Véronique Kiermer表示，NPG似乎不會成為這樣的關系環的受害者。

　　但ScholarOne并非唯一存在缺陷的出版系統。目前，不同出版商使用許多不同的出版系統。例如，斯普林格和科學公共圖書館等許多出版商使用“編輯管理者”。美國科學促進會旗下的《科學》《科學—轉化醫學》《科學—信號學》使用其內部開發的系統，但其開放獲取刊物《科學進展》也使用“編輯管理者”。愛思唯爾使用的則是“愛思唯爾編輯系統”。

　　“編輯管理者”的主要問題是其密碼管理方式。當使用者忘記密碼時，系統會為他們發送純文本郵件提示。以《科學公共圖書館—綜合》為例，在需要評審一篇新文章時，每當使用者需要登錄時，系統會為他們發送密碼。谷歌等大部分現代網頁服務都會將密碼隱藏在加密層下，以避免它們被攔截。這也是使用者一旦忘記就需要重置密碼的原因，同時他們還需要以其他方式附上身份驗證信息。

　　安全漏洞的危害非常大。因為人們通常習慣在不同場合使用相同或類似的密碼，發送密碼的郵件會給黑客機會，不僅破壞研究記錄，還能進行其他不法行為。

　　使用“編輯管理者”發表了許多論文的Dingemanse表示，“我很驚訝于他們不能制作一個安全的系統。”

　　技術難以解決社會問題

　　松懈的密碼保護導致了許多缺口。2012年，愛思唯爾期刊《光學與激光技術》撤銷了11篇論文，原因是不明身份者獲得了編輯的用戶信息，將這些論文分配了虛假評議賬號。不過，與黑客無關的被撤銷論文的作者獲得了重新提交論文的機會。

　　愛思唯爾已經采取措施，避免評議欺詐行為，包括實施了一項整合旗下100本期刊賬號的試驗項目。愛思唯爾發言人Tom Reller表示，這將減少系統內的賬戶數量，有助于發現哪些是欺騙性賬戶。如果項目成功，在2015年年初，整合工作將推廣到旗下所有期刊。

　　此外，密碼將不再被納入編輯系統發送的大部分郵件里。而且，為了核查評議者身份，該系統目前在許多點上結合了公開研究人員和投稿者身份（ORCID）。ORCID識別碼——每位研究人員被分配到特定的數字——被設計能通過其所有出版物，追蹤研究人員，即使他們更換了單位。

　　ScholarOne也允許集成ORCID，但主要由每個期刊自己判斷如何使用。但Gamboa表示，沒有足夠的科學家采用該系統。另外，還有一個問題：“不幸的是，跟其他的在線驗證系統一樣，ORCID也為不道德操作敞開了大門。”Gamboa說。

　　這是老生常談。“當你讓這個系統更具技術性和更自動化，便有更多的方法能入侵它。”哈佛大學法學院伯克曼互聯網和社會中心計算機安全專家Bruce Schneier說，“沒有技術能解決社會問題。”

　　最終，編輯和出版商應該提高警惕，尤其是與潛在評審者聯系時更應當小心。認真地檢查郵件地址是檢測假冒者的一種方法：谷歌等非機構專用郵箱就是一種危險信號。

　　但篩檢工作仍非常困難，期刊只能堅持有一位是編輯選擇和邀請的獨立評審者。《國際骨質疏松》期刊主編Robert Lindsay提到，在他見過的最嚴重欺詐事件里，一位作者推薦的評審者的名與她自己的名相同，但姓不同。

　　后來，調查發現，這個姓是該作者母親的姓——她推薦自己評審自己的論文。“我不認為她能再次向我們投送文章。”Lindsay說。