第一节 痕迹复盘，勾勒行为轮廓

机房里，新导出的底层日志数据表铺满三块拼接大屏，昝溯徽把筛选出的异常缓存读写记录全部导出为独立数据包，剔除掉设备电压不稳、后台自动维护等无效干扰项，剩下的有效痕迹被整理成一份时序清单。每一条记录只标注终端编号、触发时刻、读写字节长度，没有姓名，没有工位信息，更没有可以直接拿来锁定嫌疑人的显性证据。连日的静默对峙还在延续，外勤组的蹲守报告定时传回，各个厂区的人员依旧看不出反常，上下班路线固定，交接班记录完整，就连日常采购、通讯记录都经过刻意规整，挑不出可以直接立案的缺口。

郇执纲拉过一把椅子坐在屏幕前，没有急着去翻那些零散的数据，而是把从394章得到的暗线通讯痕迹，和过去半年里几起未破的小型泄密、参数篡改事件的案卷调了出来。他指尖点在案卷上标记出每一次事发前后的时间窗口，再对照这套底层暗码开始出现的时间节点。暗线启用的起始点，恰好是稽查组端掉城西中转节点之后，也就是说，这条通讯链路是敌方在主通道暴露之后，才正式启用的备用方案，用来在不暴露自身的前提下维持谍网内部调度。

“能够统筹启动这套预设好的备用链路，不会是普通基层暗桩可以做到。”郇执纲的目光停留在时序分布图上，“基层人员只负责接收指令，链路切换、通讯规则更新，只能由境内前线指挥层下达指令。”

昝溯徽敲击键盘，将每一次通讯发生的终端位置标注在厂区电子地图上，一个个光点依次亮起，分布在九大片区不同车间，没有集中在某一个厂区，也不会长期固定在单一岗位终端。光点之间形成一张松散的网，每一次通讯触发，都只是单点动作，不会出现多点同步应答。

“发送端不会固定使用同一台机器。”昝溯徽指着地图上新出现的标记，“对方刻意轮换接入终端，规避我们从一台设备反向锁定使用者。接收端也是分散式，一条简短指令拆分发送给不同片区的潜伏人员，降低一次暴露多人的风险。”

几名技术组员站在一旁记录数据，低声交流几句，有人提出，能不能根据字节编码的特征，直接反向破解出完整密码本。郇执纲立刻摇头。

“现在不能去强行破译。”他抬眼看向说话的组员，“一旦我们暴力尝试解码，对方的预警机制会立刻察觉这条链路已经被盯上，整套编码规则马上作废，这条好不容易拿到的线索，会直接断掉。我们现在要做的不是破译信息内容，而是去描绘操控这套链路的那个人。”

组员停下手上的动作，机房内静了下来，只剩下服务器低沉的嗡鸣。郇执纲拿出白板，拿起记号笔，却没有写下名字，只在白板最上方画下一个空白方框，代表那位还隐藏在暗处的蜂巢境内前线负责人。

第二节 多方推演，侧写维度逐步收束

白板上，一条条行为特征被陆续补充上去。郇执纲先从时间规律入手，整理近几日所有暗码发出的时段，排除掉法定节假日、深夜极少的几个零星记录，绝大多数指令触发的窗口，落在工作日上午九点十五至十点零五分，下午十四点二十至十五点十分，晚间二十一点零五至二十一点四十分。

“这三个时间段，避开了早高峰打卡、午休、下班离岗的硬性时间。”郇执纲在白板上划出时间区间，“说明此人有着相对自由的在岗调度权限，可以在工作时段内抽出一小段不受旁人紧盯的空档，同时他又不能完全脱离考勤体系，早晚打卡这类硬性要求他必须遵守，所以深夜极少行动，不敢长期滞留厂区到凌晨。”

昝溯徽在一旁补充，调出历次事件发生时对应的工作日志，“近一年几次小规模破坏事件，发生的日期，全部避开此人需要外出参加大型公开会议的日程。也就是说，他本人必须在场，才能发起这类底层暗码指令，远程操控做不到，这套链路只能在涉密内网环境内本地触发。”

外勤组的对讲机传来声音，外勤负责人把线下摸排得到的信息同步传回，近期各个厂区的中层干部、高级工程师的外出报备、公务出差记录，一一整理报送过来。大范围的出差记录可以直接排除，只要离开本市超过两天的人员，暗码通讯却没有中断，证明执行者没有随之外出。这一条筛掉了一大批高频出差的岗位人员，范围一下子缩小了不少。