第四十九章：取证进场(4/4)

首发：~第四十九章：取证进场

周负责人冷冷问：“清理敏感信息为什么要重写提交历史？你们有事后补录申请单，且补录被认定存在疑点。现在又出现重写代码历史的操作，你们认为这会被如何解读？”

供应商合规负责人急忙插话：“这是工程管理行为，与事件无关。”

周负责人把问题钉回去：“我们不接受‘无关’。取证只看时间线与关联性：04:05重写历史，04:12补录申请单，且04:03创建token刷新凭据。三条线在十分钟内连续发生。你们需要给出可审计的解释：谁、为什么、依据何种流程、审批在哪里。否则记录为‘疑似证据污染行为’。”

“疑似证据污染”这六个字像砸在桌面上，会议室瞬间更安静了。监管人员没有说话，但笔已经开始写。

林昼的手心出汗。他明白这一刻意味着什么：供应商可能从“整改对象”走向“调查对象”。调查对象面对的不是整改清单，而是更严肃的后果。更严肃的后果会带来更极端的反扑。

周负责人像预判到了这种气氛，他没有继续刺激，只把下一步推进：“现在我们固定仓库操作日志与forcepush记录，导出原始字段并哈希。你们可以在后续提交解释材料，但今天先把证据固定。”

取证员导出日志，哈希生成，见证签字。历史被锁住了。

---

下午四点，周负责人开始重放“跨区回退优先级提升”与“冻结撬锁尝试”的调用链，把平台侧API轨迹与租户侧日志逐条对齐。

对齐结果很清晰：

*19:08脚本触发提升APAC优先级、缩ProbeWindow、设高敏感；调用由svc_route_admin执行，但源头是RouteHealthGuardian。

*16:22与16:23冻结后两次撬锁尝试，触发于“freezeblocksaction”分支，先刷新高权限token，再尝试改Controller，均被平台拒绝。

*冻结启用前一小时高权限token异常刷新，确实存在，且ApprovalRef为空。

*三个月前成功关围栏事件，ApprovalRef为空，ReasonCode=AUTO_RECOVERY，触发为延迟劣化L3。

四条证据链合并后，一个轮廓变得异常清晰：这不是一套“临时救火”，而是一套长期存在的自动化权柄机制——以应急为名，持有超级权限；以恢复为名，牺牲边界；以效率为名，缺失审批引用；遇到冻结，就尝试夺回控制权。

这套机制存在的每一天，禁变窗口都只是“你希望它不要发生”；而冻结开关被按下之后，它就变成了“机制与机制的对抗”。

周负责人最后说：“取证阶段结论不做法律评价，但我们会在阶段报告里写明：存在**险自动化动作与权限过大问题；存在审批引用缺失情况下仍可执行的设计；存在试图修改冻结控制权的逻辑；存在疑似证据污染行为（forcepush重写历史）需进一步解释。”

监管人员接着补了一句：“供应商需在24小时内提交解释材料与整改措施。解释材料必须可审计，不得以口头替代。整改必须先收敛权柄，再谈效率。”

供应商合规负责人脸色很难看，却只能点头。

---

傍晚六点，林昼回到病房，父亲正坐在窗边晒一点落日余光。

父亲看到他，第一句仍旧是：“你今天吃了吗？”

林昼笑了一下：“吃了。真的。”

父亲不再追问，只说：“今天查得怎么样？”

林昼把话说得很短：“脚本不是误触发，它有一套自动动作，能关围栏、提APAC、缩窗口，还会在被锁住时试图把锁夺回来。取证把它写在纸上了。”

父亲沉默了很久，眼睛望着窗外的光：“那就危险了。”

林昼点头：“是危险。但危险写出来，就不再是暗的。”

父亲缓慢地说：“暗的最吓人。明的……还能防。”

林昼握住父亲的手：“我们现在能防。”

父亲轻轻回握了一下，声音低低的：“你别逞强。你只要让他们写字，写到他们不敢乱动就行。”

林昼应了一声，没有再多解释。他知道父亲要的不是技术细节，而是一个可依靠的秩序感：事情正在被写成字，而不是被压成沉默。

---

夜里十点，供应商发来一份紧急“解释草稿”，试图把forcepush说成“误操作”，把MedicalTenantOverride说成“保障名单”，把冻结撬锁逻辑说成“容灾自愈”。草稿里充满了“可能”“大概”“历史原因”“行业惯例”。

法务把草稿转给林昼，问他要不要逐句反驳。

林昼只回了一句：“不逐句。让他们把四样东西补齐：审批链、授权链、运行记录、回收证据。没有这四样，文字就是雾。”

法务回：“明白。”

林昼关掉手机，坐在走廊的长椅上，第一次真正感到一种近乎锋利的疲惫。不是因为事情太难，而是因为事情终于走到“必须承担后果”的阶段。承担后果的人会发疯。发疯的人会反扑。反扑可能更脏、更险。

但他也知道，取证进场的这一天，真正改变的是一个底层逻辑：从此以后，对方再说“误触发”，也要和代码对话；再说“紧急保障”，也要和权限清单对话；再说“行业惯例”，也要和审批引用缺失对话；再说“你们害的”，也要和forcepush时间戳对话。

话术仍会存在，但它的成本变高了。

他把今天的最后一条记录写进索引，笔尖划过纸面时发出轻微的声响：

*取证进场完成：封存IAM/token/代码仓/编排任务/关键日志；固定19:08自动动作链；固定冻结撬锁逻辑；发现MedicalTenantOverride；发现04:05forcepush疑点；要求补齐审批链与回收证据

写完，他合上本子，靠在椅背上闭眼。

黑暗里，他只剩一个清晰的判断：

“钥匙已经被点名，暗门已经被写字。接下来要看的，不是他们怎么解释，而是他们愿不愿意把钥匙交出来，愿不愿意亲手把暗门拆掉。”