砸成“权限过大”。脚本误触发的前提是它能触发，而能触发的前提是它拿到了写权限。拿写权限就是选择，选择就必须说明依据。

供应商合规负责人立刻说：“scope绑定是历史遗留，我们会立即收敛权限。”

监管追问：“何时绑定？绑定人是谁？是否经过审计？请提供绑定记录与回收计划时间戳。”

供应商开始说“需要核对”。

监管没给缓冲：“需要核对可以。现在先确认一点：RouteHealthGuardian是否具备关闭围栏与修改冻结控制权的代码路径？请提交源代码片段与函数调用图。若涉及商业秘密，可由第三方取证机构在现场封闭环境审阅，但必须审阅。”

供应商这次没敢拒绝，只说：“可以通过第三方审计。”

会议进入第四项：取证审计任务书。

监管提出“白盒审计”的范围，包括：

*RouteHealthGuardian组件源代码审阅（关键函数、触发逻辑、权限调用）；

*运维编排系统任务配置（Cron表达式、触发条件、参数）；

*Token签发与scope绑定记录（IAM、RBAC、审批链）；

*近三个月脚本执行日志与结果（成功/失败/拒绝）；

*与策略配置系统的关联性（是否调用过解冻、关围栏、改控制权接口）；

*平台侧API调用轨迹比对（请求ID、时间戳、来源IP、返回码）；

*关键期窗口内是否存在类似行为（尤其是转运当夜19:08至03:10）。

林昼听法务转述时，心里只盯着一行：**“转运当夜是否存在类似行为。”**

如果脚本在冻结启用后敢撬锁，那么在冻结未启用的过去，它是否曾经“成功撬开”？

如果曾经成功，那么当夜的APAC优先级提升、ProbeWindow缩短、Override启用，是否有可能不仅靠人手配置，还靠脚本自动兜底、自动改写？

这会把事件的性质再推高一层：从“人为策略选择”走向“带超级权限的自动化暗门”。

暗门不一定是恶意，也可能是“为了效率”留下的后门。但后门存在，就意味着任何拥有它的人都能绕开程序。

绕开程序，规则就只剩纸。

---

会议结束后，监管把审计任务书定稿，并明确一点：**审计机构由监管指定，费用由供应商承担，审计过