术人员第一次抬高了一点音量：“你现在阻碍取证的每一句话都在录音录屏里。你要承担的后果可能比你想象的大。”

区域总监脸色微变，但还想硬撑：“我们也是受害者，账号被盗你们不去抓盗号的人，来抓我们？”

周负责人走过来，淡淡一句：“受害者也有治理责任。你们把审批引用设为可选、把高危scope交给自动化、把冻结受阻时改控制权写进管道脚本，你们在架构上给了盗号者武器。今天取证不是抓结论，是固定事实。事实固定后，谁是盗号者、谁是放武器的人，会由证据回答。”

区域总监噎住，最终只丢下一句“我们保留权利”，转身出去。

林昼看着他背影，忽然有一种很清晰的预感：当“商业秘密”挡不住取证时，对方会转向别的方式——把矛头指向具体的人，把复杂责任压到一两个“违规工程师”身上，然后说“我们已处理个案”。

个案替罪，系统继续存在。

这就是他们最想要的结局：承认几个错误，但保住暗门逻辑。

林昼在心里把这条预感写下来：**不能让责任被压缩成个案，必须把“默认绕过”定性为治理失效。**

---

下午三点，联合取证回到医院，召开临时复盘会。

周负责人把CI/CD取证结果用最简短的方式概括：

1）管道中存在高危凭据HIGH_SCOPE_TOKEN，创建审批引用为空；

2）管道脚本存在默认绕过审计引用开关AUDIT_REF_OPTIONAL=true；

3）04:05发生ForceDeploy，审批链为空，发布目标含策略配置包；

4）itil_admin存在海外登录成功行为，操作序列指向凭据查询与作业检查；

5）上述事实与租户侧脚本逻辑、平台侧拒绝事件、异常签名请求相互闭环。

监管联络人听完，只说一句：“从整改走向调查。”

这句“调查”落下时，会议室里每个人都明白意味着什么：供应商不再只是“需要整改的合作方”，而可能成为“涉嫌违反网络安全管理义务的主体”，甚至可能存在更深层的违法线索。

网安技术人员补充：“接下来我们会做两件事：一，追海外IP归属与登录路径；二，排查是否存在凭