第五十三章：幽灵签名(2/3)

首发：~第五十三章：幽灵签名

不是合规负责人，是那位区域总监。电话一接通，对方的语气就像提前排练过，温和里带着强制：“林先生，我们注意到医院内部有人在使用一些极端措辞，比如‘暗门’‘撬锁’。这会误导临床，影响合作。我们建议你们停止相关描述，并配合我们发布一份联合声明，安抚情绪。”

林昼听着，心里反而更冷。他没有争辩措辞，只问一句：“你们的CI/CD里为什么存在AUDIT_REF_OPTIONAL=true？”

区域总监明显卡了一下：“这个属于技术细节，我们正在核查。现在重点是稳定临床。”

林昼语气平静：“稳定临床靠双通道和可控波动数据，不靠联合声明。你们要安抚情绪，先把四链补齐：审批链、授权链、运行记录、回收证据。四链齐了，任何声明都站得住。四链不齐，声明只是遮羞布。”

区域总监沉默两秒，声音压低：“林先生，你要明白，这件事走到现在，对谁都没好处。你把供应商逼到墙角，我们只能采取措施保护自己。”

“保护自己”四个字，一半是威胁，一半是预告。

林昼没有被激怒，他只回一句：“你们保护自己可以，但不能用医院和病人做筹码。任何施压都会被记录。”

电话那头挂断得很快，像怕再多说一句就留下更多证据。

信息安全负责人看着林昼：“他们开始抓人了。”

“抓人”不是抓词，是抓替罪羊，抓话语权，抓情绪的开关。只要他们能把矛盾变成“某个人煽动”，就能把系统性风险缩成个案，缩成一次误操作，缩成一张处分通知。

缩成个案，暗门就能活。

林昼抬起头，看着投影上的取证清单，缓慢说：“我们不能让它缩。必须把‘默认绕过’和‘高危自动化’钉在治理层面。”

周负责人在音箱里回应：“我们会在阶段报告里写：架构性风险不可被个案处分替代。你们院方也要坚持这个口径。”

监管联络人点头：“会发文。”

---

一点四十五，Q7又来了一封邮件。

依旧只有一句话：

“他们会甩锅给devops_x，今晚就办离职交接。真正动04:05的不是他。”

邮件没有附件，没有图片，没有任何可被质疑“伪造”的东西，只有一句提醒。但这句提醒足够锋利：它指向那个最常见的结局——把锅扣给一个工程师，让组织的“默认绕过”继续存在。

林昼把邮件头信息按流程提交给周负责人和网安，不做任何回复。他知道“别回我”不是矫情，是救命。任何一次回复都可能暴露线人。

网安技术支撑人员在视频里说：“我们会把devops_x纳入证人保护范围，要求供应商不得以离职、调岗等方式施压。同时，我们会调取04:05的操作链条，确认真实操作者。”

监管联络人立刻跟进：“我现在下发书面提醒：任何‘快速处分个案’必须先经监管备案，且不得妨碍证据保全与证人陈述。”

信息安全负责人补了一句：“医院侧也要做准备。对方如果来院里推‘联合声明’，我们只给他们一条路：提交四链与整改方案。”

林昼听着这段安排，心里没有松动，反而更紧。他知道对方甩锅不一定是为了脱罪，有时是为了灭口：把工程师推出去，让他背上“违规”标签，再让所有人明白“说实话的下场”。这比技术攻击更阴。

人一旦被吓住，系统就会再一次回到黑暗里。

---

两点十分，GhostSigner再次洪峰。

挂起请求刷出一片红，十分钟有效期的机制开始发挥作用：第一批挂起自动作废，源IP被临时封禁；对方立即换了一个出口IP，继续试探。平台评分系统跟着升级，封禁节奏越来越快。

这是一场“门闩耐久度”的对抗：你封我换，我换你封。对方在试探平台的阈值，试探医院的疲劳，试探有没有哪个时刻能让挂起请求在队列里存活得更久。

网安技术支撑人员忽然说：“他在试图拖你们签名者的注意力。”

信息安全负责人皱眉：“什么意思？”

网安说：“大量挂起会造成值班人员频繁查看，形成疲劳。一旦疲劳，就可能出现‘差不多就签了’的心理。对抗不是要赢每一次，是要等你们犯一次错。”

这句话像一盆冷水泼下来，会议室里每个人都更清醒了。

信息安全负责人立刻调整流程：“从现在开始，不再人工逐条看挂起。我们只看摘要：来源、标签、风险评分。高于90的一律不看细节，直接作废；低于90的才进入双人复核。减少注意力消耗。”

平台协查联系人也配合：“我们可以把**险请求自动抬到‘黑洞队列’，不推送给医院侧，仅保留证据与报文样本。”

监管联络人点头：“做。把人从陷阱里拿出来。”

人被拿出来，陷阱就失效。

林昼忽然意识到，真正的安全不是把门闩插得更深，而是把人从“必须时刻盯门”的状态里解放出来。只要人一直盯着门，人就会累；人一累，门就会开。

他看着屏幕上逐渐变稀的红点，第一次在这场漫长的对抗里感到一点可控——不是胜利的可控，是“不会被拖进对方节奏”的可控。

---

三点零五，网安技术支撑人员带来一个初步溯源结果。

他共享屏幕，显示海外公共出口IP的归属：某云服务商的弹性公网，租户信息需要通过法律程序调取，但有两条线索已经足够惊人：

第一，弹性公网的创建时间为两天前，恰好在保全令下发前后；

第二，弹性公网关联的虚拟机镜像指纹与供应商AgentPool常用基础镜像高度相似——相似到连某个特定的包版本号都一致。

“这不是随便搭的机器。”网安说，“这是复刻了你们供应商Agent环境的机器。要么有人内部拿到了镜像模板，要么有人外部拿到了镜像模板。”

信息安全负责人声音发紧：“如果是内部，谁能拿到模板？”

周负责人在音箱里说：“CI/CD镜像保全后，我们可以查模板仓库的访问记录。模板是谁导出、谁下载、谁复制，一般都有日志。”

网安补充：“还有一种可能：模板不需要下载，因为有人早就把Agent做成了公共镜像。只要你知道镜像名，你就能拉起一台一模一样的机器。”