”，但基站定位显示，他的手机在三次夜间开门的时段，曾在医院周边出现过短时驻留；更关键的是，停车场摄像头拍到一辆车在那三个时段反复进出，车主登记信息与XJConsulting名下车辆一致。

许景立刻换口径：“车可能借给合作方使用。”

“借车也要记录。”梁组长冷声道，“没有记录，就是切割话术。”

切割的难点在于它永远有退路：借车、借卡、借账号、借口径。可退路越多，越像逃跑。

白灯不需要立刻证明每一个借口都是谎，只需要证明借口无法闭环：你说借，就拿出借的链条；拿不出，就把借口变成疑点。疑点堆到足够多时，切割反而成了自证其罪。

---

下午四点，医院端的第三层合围开始推进：全量密钥轮换与应急策略回滚。

信息科主任拿着一份变更单，手都在抖：“我们要轮换所有应急密钥，重置所有临时token签发策略，彻底禁止skip_verify参数。执行过程中系统可能短暂停机。”

院办主任一听“停机”，立刻紧张：“停机影响很大，门诊、住院——”

护士长直接打断：“影响再大也要做。你要的是业务连续性，我们要的是患者安全连续性。桥不拔掉，连续性只是连续出事。”

纪检联络员把笔一放：“今天这个变更我监督。所有变更前后差异报告必须导出，哈希固化，写入矩阵。谁想用‘停机’当借口拖延，就是在给切割争时间。”

变更开始前，周工做了三件事：

第一，把当前系统配置、审计策略、白名单列表全部做只读镜像；

第二，把镜像哈希写入封存记录，并做第三方时间戳；

第三，设置WORM保留策略，确保变更过程中任何日志不会被覆盖。

做完这些，才允许信息科执行轮换。

轮换过程中，系统发出一次短暂的告警：有人尝试用旧token调用镜像拉取接口，接口返回“拒绝：策略不允许”。日志里记录了请求来源IP——正是那份“紧急安全升级任务单”工单域名曾解析到的IP段。

周工看着日志，眼神冷得发亮：“他们在试。试图在轮换窗口里复活桥。”

梁组长点头：“这就是切割者的习惯：当你在修门锁，他们会在门缝里塞刀。”

日志被立刻编号固化，写入矩阵：**轮换窗口旧token尝试记录**→对应**工单域名解析变