新，还可能重写策略配置。
这与“强制推送重写代码历史”的疑点，彼此照应：他们在同一时间点，既动了代码历史，又动了发布管道。
周负责人要求把04:05的发布详情全量导出：发布包内容清单、变更差异、发布审批链、回滚记录。系统提示：审批链字段为空。
又是空。
空不是偶然，空是习惯。
---
十点二十六，最尖锐的问题终于落到“谁”的层面。
网安技术人员要求提供itil_admin账号的登录轨迹。控制台显示：过去24小时内，itil_admin账号有两次登录，一次来自供应商办公网段，一次来自海外公共出口；海外登录发生在凌晨02:18，失败三次后成功一次，随后触发了凭据访问与作业查询，但未触发发布。
海外公共出口、失败三次后成功一次——与平台侧“海外出口重试旧token”的线索相互咬合。
监管联络人问：“你们解释一下：itil_admin为什么会在海外登录？谁在海外？是你们员工出差，还是账号泄露？”
合规负责人声音发虚：“我们会内部核查，不排除账号被盗。”
网安技术人员冷冷说：“你们现在要做的是提供证据，不是给结论。提供：账号MFA是否启用、是否绑定硬件令牌、登录设备指纹、IP归属、成功登录后的操作序列。我们会判断是否为被盗或内部行为。”
取证员把登录设备指纹导出。设备指纹显示为一台虚拟机浏览器环境，User-Agent伪装普通Chrome，但设备标识与供应商内部标准终端不一致。更异常的是，成功登录后第一件事不是查看报警，而是进入“Credentials”页面，查询HIGH_SCOPE_TOKEN。
像是在确认钥匙还在不在。
林昼看着那条操作序列，后背一点点发冷。他意识到，这件事已经不是单纯的“供应商为了效率留下暗门”，更可能存在“有人在暗门上做了二次利用”：要么内部有人主动伸手，要么外部有人拿到钥匙伸手。
无论哪种，都意味着风险升级。
周负责人把所有导出文件当场哈希固化，监管与网安分别签字。合规负责人也被要求签字确认见证。合规负责人手抖得厉害
本章未完，请点击下一页继续阅读！