你们这样会耽误工作。”

护士长语气更平：“工作不靠耽误与不耽误，工作靠编号与回拨。请等待。”

纪检联络员直接把对方带到会议室，启动“来访核验流程”。她拨打卫健委公开总机，转信息处核验。对方在会议室里明显开始坐立不安，手指频繁摸手机。电话那头的卫健委工作人员很快给出结论：“我们没有派人去医院调取原件。也不会要求当天出结果。”

“冒充。”纪检联络员的声音像锤，“请配合警方核验身份。”

那人脸色瞬间变了，起身要走，被门口保安拦住。搜身过程中，他身上掉出一枚U盘，U盘外壳印着“审计抽样工具”。工具这两个字刺眼得像讽刺：他们连冒充都要冒充成“工具”。

周工拿手套夹起U盘，直接封存，编号：**冒充审计-004（伪造卫健调取+审计工具U盘）**。

护士长冷冷道：“他们想偷走原件，制造断点。原件一旦离开，就可能被替换，或者被说成‘丢失’。丢失就是他们最爱的空窗。”

纪检联络员点头：“这也是换城的一部分。他们不仅要把影账本迁走，还要把本地的‘灯源’偷走。偷走灯源，哪怕他们换城失败，本地也会变暗。”

周工看着那枚U盘，忽然说：“U盘也许能反向追到审计机构的工具链。里面可能含有他们的脚本签名证书、配置文件、默认域名。”

“隔离取证。”网安女警马上把U盘装入法拉第袋，准备送往隔离环境解析。

林昼站在一旁，心里没有以前那么慌。因为这一次他们的试探没有造成混乱，只造成一个新的编号。每一次试探被写成编号，回路就失去一次“无痕动作”的机会。

---

傍晚六点，隔离取证结果出来。

U盘里果然有一套“抽样工具”，工具看似用于收集系统日志、生成抽样报告。可配置文件里写着两个默认选项：

*默认隐藏字段：授权回收、影账本切换、测试标记

*默认摘要生成：将异常归类为“运维误触/测试动作”

也就是说，这套工具从设计开始就不是为了发现问题，而是为了把问题写成“可解释”。它是一台“降格机”。

更致命的是，工具内置的签名证书指纹与之前捕获的脚本签名证书指纹一致，证书申请链也指向同一家CA服务商，注册邮箱域名与审计机构内部邮件格式高度相似。

周工把这些证据放到桌上，声音低而硬：“审计机构不仅托管开关，还提供降格机。降格机可