午夜零点零七，信息科的告警声不刺耳，却足够让所有人同时抬头。屏幕上三条红色提示并列跳出：跳板设备上线、主控提成账户测试转账、仓库端“备份_交付”打包任务触发。像三把钥匙插进同一把锁孔，开始顺时针转动。

周工站在显示墙前，没急着下命令，他先看时间窗：三条告警的触发时间相隔不到两分钟。对方不是随手试试，而是在执行一套“撤离脚本”——设备上线建立通道，转账测试确认出路，打包任务准备搬货。每一步都在为下一步开路。

罗工把镜像闸门里捕捉到的会话摘要拉出来，低声说：“他这次不是改参数，是走流程。连包名都统一用‘交付’。”

纪检联络员没有多问“交付给谁”，她只说：“关门方案B启动。先关路，再关人。公众端不动。”

护士长在门口听得清楚，脸色微微一紧，却很快压下去：“病区群里刚又有人转发‘今晚最后机会赔付’。我已经按口径回了‘别信，核验’。我会继续压住。”

“你那边只要守住三句提醒。”纪检联络员说，“我们这边负责把门关上。”

周工拿起马克笔，在白板上写下四个字：**关门时刻**。他在字下面画了两条粗线，一条标“路”，一条标“人”。

“关门不是冲进去抓。”他说，“关门是把他所有能走的路先锁住，让他自己停在门口。停住了，证据就完整，人也跑不了。”

系统提示在视野边缘亮起：

【关门方案B：先关路，再关人；公众端不动】

【三点合一：通道上线/资金测试/数据打包=撤离脚本】

【目标：让撤离动作变成不可抵赖证据】

---

###1）先关路：把“走”的动作变成“证据”

凌晨零点十五，技术组先做的不是断网，而是“贴标签”。

罗工快速下达两条操作：

*对跳板设备建立的加密连接进行会话镜像固化，记录握手指纹、证书链、端口特征与流量节奏；

*对仓库端打包任务启动的所有文件读写行为做“目录级审计”，把每一个被压缩的文件名、路径、大小、哈希写进不可篡改的审计日志。

“他要走，就让他每拿走一份东西都留下脚印。”罗工说，“脚印越多，退路越少。”

周工点头：“先别让他感觉到门关了。让他继续走几步，走到门口再停。”

纪检联络员补了一句更关键的底线：“不能让他把数据带走