直白的：“要么是供应商内部有人拿着Agent的环境在做事，要么是外部人拿到了他们的Agent镜像或证书。两种都严重。”

会议室里沉默了几秒。沉默不是无话可说，是每个人都在计算后果。

如果是内部人，那就是对抗取证的行为升级；如果是外部人，那就是凭据泄露造成的持续攻击，供应商治理责任更重。两种都指向同一个结论：问题不止“历史遗留”，而是“仍在发生”。

林昼终于开口，声音压得很低：“挂起请求能否被自动作废？比如超过十分钟无二签，直接废弃并拉黑源？”

平台协查联系人点头：“可以。我们已经把挂起队列的有效期从默认24小时降到10分钟，并开启源IP的行为评分。超过阈值会触发速率限制与临时封禁。”

信息安全负责人接着说：“医院侧也会做‘签名哨兵’：任何出现ControllerChange字样的请求，自动生成一份‘四链核对单’——提交方、审批引用、变更窗口、责任人。四项缺一，永远不签。”

监管联络人看向林昼：“你之前强调的四链，现在成了签名规则。”

林昼点头，却没有一丝轻松。他很清楚，对抗者会不断换皮：今天是ControllerChange，明天可能是PolicyOverride；今天是GhostSigner，明天可能伪装成“平台系统任务”。规则要跟着敌人变，但核心不能变——谁都不能凭空拿到钥匙。

---

一点二十，供应商又来电话。

不是合规负责人，是那位区域总监。电话一接通，对方的语气就像提前排练过，温和里带着强制：“林先生，我们注意到医院内部有人在使用一些极端措辞，比如‘暗门’‘撬锁’。这会误导临床，影响合作。我们建议你们停止相关描述，并配合我们发布一份联合声明，安抚情绪。”

林昼听着，心里反而更冷。他没有争辩措辞，只问一句：“你们的CI/CD里为什么存在AUDIT_REF_OPTIONAL=true？”

区域总监明显卡了一下：“这个属于技术细节，我们正在核查。现在重点是稳定临床。”

林昼语气平静：“稳定临床靠双通道和可