傍晚六点，供应商突然提出一个“安全退出方案”。
他们说：在监管与平台限制下，他们难以保证服务SLA，建议医院启动服务迁移，由供应商提供三十天过渡支持，期间需要医院签署“风险告知确认”，并允许供应商在必要时申请例外解除部分冻结限制。
这是一种很典型的策略：当暗门被发现、权柄被逼回收，他们就把问题改写为“我们承担不起责任，所以我们退出”。退出本身并不违法，但把退出作为筹码，逼医院签“风险确认”、逼监管放松冻结，就是另一回事。
接收医院信息安全负责人把这份方案看完，回复很稳：“迁移可以讨论，但在证据保全与整改完成前，不讨论解除冻结。过渡支持必须在保全令框架内执行。任何风险告知必须基于审计事实，不基于恐吓假设。”
监管也回：“退出与迁移属于商业行为，不得用于对抗取证与整改。保全令优先级高于迁移安排。”
供应商合规负责人沉默了。
沉默里往往藏着另一个动作：他们会在不说话的地方动手。
夜里十一点，第三方平台协查联系人发来一条高优先级告警：
“检测到该租户出现一次异常的双重签名请求：请求类型为Freeze.ControllerChange，发起方标识为未知服务主体，来源IP非供应商办公网段。请求已被系统挂起，等待医院侧控制账号签名。若医院误签，将触发控制权变更。”
林昼看到这条告警，心口猛地一紧。
冻结控制权变更请求，来自未知主体。
这不是白天的流程讨论，这是夜里的钩子。对方可能知道平台已经“需双重签名”，于是换了方式：把签名请求推到医院侧，让医院自己误触发。
只要医院侧有人疲惫、有人误点、有人把它当成正常审批，钥匙就可能被偷走。
信息安全负责人立刻在值班群里下发指令：所有涉及Freeze、GeoFence、Priority、ProbeWindow的签名请求，必须由两人复核（值班安全官+信息安全负责人），任何单人不得签名。并且立即把医院侧控制账号的签名通道切换为硬件令牌确认，防止误触。
周负责人也被拉进群，给出一句建议：“把这次异常签名请求固化为取证事件，导出原始字段并哈希，作为‘对抗保全令行为’线索。”
监管随后追加了一条简短但分量极重的指令：“供应商立即说明该请求发起主体与来源。无法说明视为严重不配合。”
对方终于不得不在深夜回应：“我们没有发起该请求。可能是历史自动化任务残留或第三方误触。”
“历史自动化任务残留”这句话听起来像解释，实际上是承认：他们的自动化体系复杂到自己都不敢保证不会再伸手。
复杂不是原罪，但复杂加上高权限，就会变成失控。
林昼盯着那条告警，脑子里浮现出取证现场那段代码：冻结挡住动作，就刷新token，就尝试改控制权。如今控制权请求真的出现在平台侧，只不过发起方被隐藏在“未知主体”里。
未知主体背后，可能是未回收的凭据，可能是绕过链路的服务号，可能是某个仍在运行的编排任务。
更糟的是，它可能来自“外部”——有人拿到了凭据，在夜里试图偷钥匙。
偷钥匙的人，才最危险。
凌晨一点二十，林昼回到病房，父亲还醒着，望着窗外的灯。
父亲看见他，先问：“怎么又这么晚？”
林昼把声音压得很轻：“系统那边有人还想动开关。我们挡住了。”
父亲沉默了一会儿，声音里带着疲惫的清醒：“他们为啥这么想动？”
林昼没有讲技术，只讲最本质：“因为开关在谁手里，谁就能决定故事怎么写。”
父亲点点头，像听懂了，又像更担心：“那你要小心。他们写不过你，就会想让你闭嘴。”
林昼握住父亲的手：“我不跟他们吵。我只让系统写字，让日志写字，让哈希写字。”
父亲轻轻回握了一下，像把某种力量交给他：“那就写。写到他们不敢伸手。”
凌晨两点零三，第三方平台又发来更新：异常签名请求被系统判定为“**险伪造”，已自动作废，并触发平台侧的“凭据泄露排查流程”，将对相关token链路进行全量吊销与重签。
吊销与重签意味着一件事：那些还在暗处的钥匙，会被强制换锁。
换锁会让对方真正疼。
疼的人，会反扑得更狠。
林昼把这一夜的节点写进索引，笔尖在纸上停了一瞬，最后落下一行：
保全令落地后出现异常控制权请求：疑似未回收凭据或外部窃取；已固化取证，平台启动全量吊销换锁
写完，他合上本子，靠在椅背上，听走廊尽头的脚步声一下一下过去。
他知道，从这一刻起，故事不再只是“查清真相”。它变成了“在真相被写出来之前，守住所有开关不被偷走”。
而偷钥匙的人，往往不会只偷一次。