第83章 快照夜与草稿箱

夜色落在总部大楼的玻璃幕墙上，像一层薄薄的墨。灯光从内部透出来，被切成方块，规整得近乎冷酷。越是这种规整，越让人意识到：组织从来不靠情绪运转，它靠流程、权限、默认和沉默。影子机制能活这么久，本质不是它多聪明，而是它把自己藏进了“默认”的缝里。

电梯门合上的瞬间，周砚把罗主任递来的取证单又看了一遍，编号清晰得像伤口边缘被刀刻过：od-log-209（李骁相关草稿链路紧急快照指令）。

梁总站在他旁边，声音压得很低：“远程擦除尝试被拦截，说明他知道链条要查到他。他会继续动。”

顾明手指在手机上飞快滑动，盯着告警面板：“不是‘会’，是‘正在’。我这边看到他域账号刚刚触发了一次异常令牌刷新，被策略挡了，但说明还有人给他喂权限。喂权限的人才危险。”

陆律没有看任何屏幕，只看周砚：“今晚所有动作都要留痕。你们做的每一步，明天都会被拿来质疑。对方最希望你们在紧急状态里犯一次‘程序瑕疵’，然后把你们说成‘非法取证’。”

周砚点头：“按双钥匙走。先纪检授权，再信息安全执行，再第三方哈希封存。”

梁总看着他：“你别出面太多。现在外界已经在剪辑录音，你一露头就会被写成‘内部清算的刀’。”

周砚没有争辩，只说：“我不露头。把编号露出来就够了。”

电梯到达内审层，门一开，走廊里已经多了两名纪检专员。罗主任站在取证区门口，旁边还有一位警方技术人员，穿着便装，手里拎着一只黑色硬壳箱。箱子像一个沉默的宣告：事情已经从内部治理滑向更严格的规则边界。

罗主任没寒暄，开门见山：“李骁的办公电脑正在尝试远程擦除。我们拦了第一波，但他可能还有本地脚本、也可能有人替他操作。现在做三件事：第一，锁账号；第二，快照草稿箱与文件版本；第三，取他电脑的镜像。警方技术会在场，链条更硬。”

警方技术人员点头，自报姓周，语气很平：“我们只做取证，不做判断。所有镜像由你们编号封存，我这边做司法级哈希。”

顾明已经把电脑打开，屏幕上是权限管控台和日志聚合界面：“我需要纪检授权码，才能对他的域账号做强制登出与令牌吊销。否则明天会被说成越权。”

罗主任把授权码递过去，动作干净利落：“授权已写入纪检系统，编号同步。你执行。”

顾明敲下最后一个回车，屏幕上弹出红色提示：**“session revoked.”**

紧接着，另一条提示跳出：**“rote wipe request blocked.”**

“第二波又来了。”顾明眼里没有胜利，只有一种被逼出来的冷静，“他在用设备管理系统发擦除指令。设备管理系统权限一般不在个人手里，除非……他拿到了管理员级别的策略入口。”

梁总皱眉：“管理员入口不是信息安全负责人那边吗？”

顾明摇头：“理论上是。但还有一种可能：有人临时给了他‘应急管理员’的短时权限，或者有人用别名账号在后台帮他点了按钮。”

罗主任立刻看向纪检专员：“把设备管理系统的应急管理员列表调出来。现在就调。”

纪检专员低声应下，转身去操作。周砚站在旁边，眼神落在顾明的日志流上：一行行时间戳像雨点砸下来，密集到让人窒息。每一行都不讲道理，它只讲事实——谁在什么时候做了什么。

“先快照草稿链路。”罗主任说，“别让他把草稿箱清掉。”

顾明切换到邮件取证模块，按既定流程输入授权编号。屏幕里出现一串路径：李骁的邮件草稿箱、共享盘目录、文档协作平台的版本库、以及一个不常见的文件夹——“risk_notes”。

“这个文件夹不在常规目录里。”顾明声音更低了，“像是刻意藏的。需要单独取证。”

陆律立刻提醒：“不要主观判断‘藏’，只说‘不在常规目录’。措辞要像报告，不要像推断。”

顾明点头，手指不停：“我会按路径描述。”

取证开始的十分钟里，整个房间只有键盘声和设备风扇的轻响。警方技术人员打开硬壳箱，取出写保护器、证据封条、哈希记录卡，动作熟练得像在做一种没有情绪的手术。

周砚一直不说话。他知道自己说的每一句话都可能成为外界叙事的素材。现在最重要的是让证据自己说话。

第一份快照包很快生成，顾明把文件名投到屏幕上：

**od-log-209-a：李骁邮箱草稿箱全量快照**

**od-log-209-b：李骁文档协作平台版本库快照**

**od-log-209-c：共享盘risk_notes目录快照**

警方技术人员开始计算哈希，屏幕上滚出一串长长的字符。哈希一旦落地，任何“版本争议”都会被削弱。影子机制最爱的就是争议——争议能拖延，拖延能换皮。

“risk_notes里有东西。”顾明的声音突然变得更硬，“我打开的是快照副本，不触碰原件。你们看这个。”

投影上出现一个word文档的预览缩略图，标题简单得像备忘：**《风险议题材料流转建议》**。打开后，第一页就是几段看似正常的行政语言：

“为确保风险议题材料不发生不可控扩散，建议建立临时集中管理机制。材料仅在限定人员范围内流转，避免出现系统直链。必要时对外部舆论预设回应框架，降低治理动作被误读的概率。”

这些句子表面上没有任何“非法”字眼，甚至像一个谨慎的办公室建议。但周砚看到了关键：它延续了“不要直链”“集中管理”“预设舆论框架”这条线——而这条线正是影子机制的护城河。护城河不是用来保护公司，而是用来保护暗门不被看见。

更重要的是，文档的“批注与修订”里密密麻麻，像一场多人的协作。修订者缩写包括：lx、hy、ch、ro，以及一个此前没出现过的缩写：**zs**。

“zs是谁？”梁总下意识问。

陆律立刻看他一眼：“不要在取证现场问‘是谁’，会被录成‘诱导’。问‘该缩写对应哪个账号’。”

顾明已经在查：“zs对应的协作平台账号是这个账号属于董事会办公室共享账号池，不是个人账号。它的创建权限非常高，通常只给核心秘书处使用。”

罗主任的眼神沉了一瞬：“共享账号池是最坏的情况。共享意味着责任稀释，稀释意味着永远查不到‘具体是谁’。”

周砚终于开口，声音很稳：“共享账号也有设备指纹、登录地点、时间窗口。责任不会消失，只是需要更硬的对齐。”

顾明立刻接话：“对，协作平台有设备指纹在昨天下午五点零八分登录过一次，地点显示在总部a座，靠近董事会办公室区域。设备指纹与……一个固定会议室终端吻合。”

“董事会办公室会议室终端？”梁总皱眉。

顾明点头：“就是那台用于投屏与会议纪要的终端。平时不对外开放。”

空气再次变冷。终端意味着“现场”。现场意味着“有人”。影子机制一直试图把自己包装成“口头沟通”“临时协调”，可终端留下的痕迹不是口头，它是机器的证词。

罗主任立刻说：相关登录痕迹纳入快照包，独立编号。今晚就出一份‘共享账号风险报告’，要求董事会办公室立刻停用共享账号池，改为实名。”

季副主任此时通过视频连线加入，声音疲惫但清晰：“我已经在准备明早的董事会紧急通报。共享账号这条如果坐实，会逼董事会做选择——要么彻底改机制，要么让调查停在某个层级。”

苏内审也连线进来，她的声音更冷：“机制必须改。共享账号池本身就是暗门的一部分。”

顾明忽然又弹出一条告警：“第三波擦除尝试来了，这次不是李骁账号发的，是一个应急管理员账号发的。账号名：ency**。”

梁总的眼神瞬间锐利：“应急管理员？谁给的？”

顾明把日志拉出来：“请求来自集团办公室网段。时间戳与我们开始取证后相差不到三分钟。对方在盯着我们。”

罗主任不再犹豫：立刻冻结，启动二级冻结，双钥匙。并且——把集团办公室网段的设备管理访问权限全部切断。”

“会不会影响业务？”秦致远的声音突然从另一条视频通道里插，进来，他显然一直在关注，“你们这样切断，会造成运维混乱。”

苏内审在视频里冷冷回他：“运维混乱不是灾难，暗门复活才是灾难。”

罗主任也不客气：“秦总，我们按决议执行。二级冻结触发条件是‘干预证据链’。现在已经发生三次擦除尝试，且第二波来自管理员级账号，属于组织性干预。执行。”

顾明敲下命令，屏幕显示ency会话被吊销，策略入口被关闭。第三波擦除请求随之被系统拒绝。

但他没有放松，反而更快：“对方会换方式。下一步可能是物理断电，或者让人去拔线。”

警方技术人员抬眼：“我们已经通知安保封控董事会办公室与集团办公室关键机房通道。任何人进入会触发记录。”

“封控要编号。”陆律提醒。

罗主任立刻补：“编号已在纪检系统写入。今晚所有封控动作都有留痕。”

这一刻，周砚突然意识到：影子机制不再只是纸上的暗语，它在做“救火动作”。救火动作越急，越说明火源离得近。

---

夜里十一点二十，第一份镜像完成。

警方技术人员把封条贴上硬盘盒，哈希写在记录卡上，手写体一笔一划，像签字一样严肃。罗主任看了一眼封条：“按流程移交。”

警方点头：“按流程。”

顾明还在盯着risk_notes目录。他把里面另一份文件调出来，标题更短：**《风险稳定议题讨论要点》**。打开后，内容比刚才那份更直白，甚至出现了熟悉的词：窗口、直链、妥协空间。

文档的最后一页，出现了一段看似随手写的“提醒”：

“对外部材料的投放必须可否认。任何对内解释稿须预留弹性，避免董事会被迫站死。对关键人员的对接窗口要可控，可通过行政骨架与权限收口实现。不要留下可追溯直链。”

这段文字像把之前所有碎片串成了一根线。它不再是“建议”，而是“策略”。

更重要的是，在这一页的修订痕迹里，有一条批注，语气像命令：

“这段不要写进正式文件，只留在notes。按这个口径走。”

批注人的账号不是lx，也不是hy、ch、ro，而是——*

共享账号在这里不再只是“参与修订”，它在下指令：什么进正式文件，什么只留notes。什么可被审计，什么必须躲开审计。

周砚盯着那条批注，喉咙里像吞进一块冷硬的石头。他想起程晗在问询室里说的那句话：“保护董事会，避免直链。”这条批注把“保护”变成了“躲避”。

“把这条批注单独截图取证。”陆律的声音很低，却带着一种法律人的冷，“它说明有人在主动规避留痕，这不是疏忽，是意图。”

顾明点头，立刻生成证据包批注规避留痕证据包）。哈希随即生成。

罗主任看着屏幕，沉默了几秒，才说：“共享账号池必须停用。明天一早，纪检会要求董事会办公室交出终端与共享账号管理清单。谁在用共享账号，谁就必须解释。”