第五十四章：镜像指纹(1/3)

首发：~第五十四章：镜像指纹

早上七点二十六，医院行政楼的走廊被晨光切出一条狭长的灰白。

林昼从值守椅上起身时，腿有些发麻。昨夜的红点、告警、洪峰节奏像还贴在眼皮上，闭上眼都能看见“GhostSigner”那行字在屏幕上闪。他把西装外套披上，手指下意识摸了摸口袋里的硬件令牌——不是因为他需要签名，而是因为那枚冰冷的塑料外壳能提醒他：门闩还在，别松。

信息安全负责人已经在会议室里等着，桌面上摊着一页打印的临时方案，标题写得很直：**“模板仓溯源专项（院方配合清单）”**。上面列了三列事项：平台侧动作、监管侧动作、院方配合点。

周负责人也在线，视频窗口里他眼下青黑，但声音仍稳：“平台今天要查的是镜像来源链。只要能证明‘Agent模板’被复制或外泄，幽灵签**就不再是一个孤立事件，而是‘持续性攻击’的证据延伸。你们医院要配合两点：第一，确认任何签名请求都不落地到个人手机；第二，所有对外沟通只讲事实数据，不讲情绪。”

林昼点头：“临床双通道昨晚保持零中断，延迟峰值与持续时间已经固化。对外只用这两项。”

监管联络人把一个文件抛进群里，是一份正式盖章的通知：**《关于证人保护与反报复的提醒函》**。内容比他们内部讨论更硬：不得对任何配合取证人员进行调岗、降薪、停职、劝退，不得要求签署预设结论文本；违反者视为妨碍调查，纳入不配合记录并移交进一步处置。

信息安全负责人扫了一遍，低声说：“这份提醒函要尽快抄送原医院人事和信息科，尤其是那位副主任。让他们知道，‘谈话’不能再玩文字陷阱。”

林昼没说话。他知道提醒函不会让所有人收手，但它能让施压者的成本变高。成本一高，很多阴暗动作会从“顺手”变成“要冒险”，冒险的人就会变少。

桌角的手机轻轻震了一下，清算系统弹窗跳出：

【清算进度：48%】

【今日关键节点：模板仓访问链】

【建议：锁定“复制者”而非“操作者”】【风险：替罪羊加速】

林昼看着“替罪羊加速”，心里像被什么拧了一下。Q7昨夜那句“他们会甩锅给devops_x”一直没散。替罪羊不是结案，是掩盖；掩盖的背后，往往还有更大的东西需要被藏起来。

如果他们急着把一个工程师推出去，说明真正的责任链可能指向更高的位置。

高的位置，才有能力把“默认绕过”变成默认。

---

上午九点四十，平台协查联系人发来第一批溯源结果。

他没有发长篇解释，只丢出两张对比图：一张是供应商AgentPool常用基础镜像的指纹摘要（层哈希树），另一张是海外云虚拟机里抓取到的镜像层指纹摘要。两张图上，九成层哈希完全一致，只有最顶层多了一个轻量包：一个名为**GhostSigner**的二进制文件，以及一个配置文件**signer.conf**。

“这不是像。”平台协查联系人说，“这是同一棵树上长出来的枝。外部那台机器，几乎就是从供应商的Agent模板克隆出来的。”

网安技术支撑人员把问题往下压：“关键在‘从哪里拉出来’。我们需要仓库访问记录。供应商Agent模板通常存储在私有镜像仓（registry）或制品仓。只要能拿到registry的pull记录，就能看到谁在什么时间把模板拉走。”

周负责人补充：“还要看推送记录。很多企业为了提速，会把私有镜像推一份到半公开仓库或边缘节点。若存在‘镜像镜像器’，会留下推送账户与流水线。”

信息安全负责人立刻安排内部协助：“我们院方能提供的只有一件事：把供应商昨天封存的CI/CD镜像数据与平台比对。供应商若拒绝交出registry日志，监管就要发强制提取。”

监管联络人在群里回：“已发要求。时限两小时。拒绝或拖延，视为严重不配合。”

两小时的时限像一把闸刀，逼得供应商必须在“配合”和“升级处置”之间选一个。对方之前还能靠律师函、商誉、影响面去谈条件，现在条件越来越少。

十点五十六，供应商终于回了一个“配合方案”，但仍想耍花样：只提供“摘要统计”，不提供原始pull/push日志，理由是涉及多客户隐私。

网安技术支撑人员直接拒绝：“我们不看摘要。摘要不可验证。你们可以做多租户脱敏，但必须保留字段完整性：时间戳、源IP、账户标识、镜像名、digest。否则等于没提供。”

周负责人也补刀：“脱敏可以，伪造不行。我们会对比平台侧抓到的digest。对不上，就是造假。”

供应商这才彻底安静。

---

十一点三十，一条更刺眼的消息传来——原医院的信息科在内部网发布公告，正式对devops_x做停职处理，并要求其“配合公司与院方调查，签署情况说明”。

公告被人转到监管群里，周负责人只看了一眼，就让法证员做了两件事：截图固化、哈希封存。

监管联络人随即把刚下发的“证人保护提醒函”回抄给供应商合规负责人，并追加一句：“停职不违法，但不得附带预设结论文本，不得以停职威胁证言。请在两小时内提交你们对devops_x采取措施的依据、流程、谈话记录与文本模板。我们将审查是否存在不当施压。”

供应商合规负责人这次回复明显变慢，像在和上级反复沟通后才发出一句：“我们会调整沟通方式。”

“调整沟通方式”翻译过来就是：他们知道自己踩线了。

林昼坐在会议室角落里，看着群里这些冷冰冰的文字，忽然想起父亲昨晚那句“他们怕你们急”。对方越急着定性个案，越说明他们怕“模板外泄”这条线把责任抬到治理层面。

治理层面一旦坐实，追偿就不再只是“赔钱”，还可能牵出行政处罚、行业信用、甚至刑责边缘的风险。

那是他们真正害怕的。

---

中午十二点零八，Q7又来邮件。

这一次只有一行数字：**“buildbot_mirror”**。

没有解释，没有附件，像丢来一把钥匙的名字。