第四十七章：脚本证词(2/3)

首发：~第四十七章：脚本证词

会议进入第四项：取证审计任务书。

监管提出“白盒审计”的范围，包括：

*RouteHealthGuardian组件源代码审阅（关键函数、触发逻辑、权限调用）；

*运维编排系统任务配置（Cron表达式、触发条件、参数）；

*Token签发与scope绑定记录（IAM、RBAC、审批链）；

*近三个月脚本执行日志与结果（成功/失败/拒绝）；

*与策略配置系统的关联性（是否调用过解冻、关围栏、改控制权接口）；

*平台侧API调用轨迹比对（请求ID、时间戳、来源IP、返回码）；

*关键期窗口内是否存在类似行为（尤其是转运当夜19:08至03:10）。

林昼听法务转述时，心里只盯着一行：**“转运当夜是否存在类似行为。”**

如果脚本在冻结启用后敢撬锁，那么在冻结未启用的过去，它是否曾经“成功撬开”？

如果曾经成功，那么当夜的APAC优先级提升、ProbeWindow缩短、Override启用，是否有可能不仅靠人手配置，还靠脚本自动兜底、自动改写？

这会把事件的性质再推高一层：从“人为策略选择”走向“带超级权限的自动化暗门”。

暗门不一定是恶意，也可能是“为了效率”留下的后门。但后门存在，就意味着任何拥有它的人都能绕开程序。

绕开程序，规则就只剩纸。

---

会议结束后，监管把审计任务书定稿，并明确一点：**审计机构由监管指定，费用由供应商承担，审计过程允许医院与监管共同见证，所有证据加哈希保全。**

供应商合规负责人终于露出明显不悦：“费用与周期会很大，可能影响正常服务。”

监管回应平静却不留余地：“你们服务医疗关键系统，风险成本本就应由你们承担。你们若认为无法承担，可以终止服务，但必须完成安全退出与交接。”

这句话像在桌上放了一把刀：要么接受审计与整改，要么退出市场。退出对他们是损失，接受对他们是痛苦。两者都不愿，才会更激烈反扑。

---

中午十二点四十，反扑的第一波落在“叙事”上。

原医院内部群里开始流传一段匿名音频，内容大意是“有人借家属身份逼监管，导致供应商被迫停更，影响临床系统稳定，若出事责任谁担”。音频没有点名，但话术明显指向林昼与接收医院法务，把“控制权”说成“干扰运维”，把“禁变窗口”说成“拖慢响应”。

这就是供应商最擅长的：把边界说成障碍，把安全说成成本，把规则说成麻烦，把风险转移到“你们害的”。

接收医院信息安全负责人没有在群里争辩，只在监管联络群里发了一句：“已出现舆论干扰素材，请建议医院统一口径：只讲事实、只讲程序、只讲审计证据。”

监管回复：“同意。请原医院注意内部信息安全，避免未经核实音频传播。必要时纳入调查。”

林昼看见这两句话，反而更冷静。音频越早出现，越说明对方知道脚本审计会开刀，必须提前在医院内部制造“效率恐慌”，让禁变窗口变成“大家都怨”的制度。怨气一旦形成，制度执行就会在基层被消磨：有人会开始偷偷请求例外，有人会默认供应商“帮忙”，有人会觉得“你们太较真”。

制度最怕的不是公开反对，最怕的就是基层疲劳与默认妥协。

所以林昼给法务提了一个建议：“把CN-only围栏启用后的延迟数据做成可视化说明，明确告诉临床：延迟上升是可控范围，且我们有例外链路；同时强调关键期窗口是为了避免更大故障。不要让‘恐慌’变成事实。”

法务回：“我们会做一页说明，发院内公告。”

林昼又补：“公告里只写事实，不写指责。不要点名供应商，不然对方会借机说‘抹黑’。”

法务回：“明白。”

---

下午两点，第三方平台协查联系人单独发来一份“API调用轨迹补充摘要”，里面有一条信息让林昼背脊发紧：

>在冻结启用前一小时（围栏启用后），平台检测到该租户存在一次异常的token刷新行为：同一来源IP在两分钟内请求了三次高权限token，scope一致，签发原因码为空，审批引用字段缺失。该行为未触发拒绝，但触发了风险评分上升。

这条信息不直接证明脚本作恶，却证明他们在“权柄”上有异常动作：高权限token在短时间被反复刷新，而且缺少审批引用。审批引用缺失，意味着流程不透明；流程不透明，意味着可以绕过正常绑定。

林昼立刻回复：“请保全该刷新行为的完整审计字段（请求ID、时间戳、来源IP、签发账号、scope、ReasonCode、ApprovalRef、返回码）。这是审计范围必须包含的证据。”

第三方回：“已保全。可交监管。”

林昼转发给梁组长，梁组长只回：“收到，纳入。”

这条“刷新行为”像一根暗刺，插在“脚本误触发”的叙事下面：如果只是误触发，你为什么要在冻结前一小时反复刷新高权限token？你在为谁准备？你在准备什么？

准备的答案，必须在取证审计里揭开。

---

下午三点二十，证人的压力又一次升级，但这次以更“合法”的方式出现。