秦天盯着电脑屏幕上的紧急通知，手指在键盘上快速敲击。玫瑰小组发来的消息很短，但信息量很大：目标设备正在批量导出加密日志。他没有立刻采取行动，而是先调出系统权限记录，确认这台终端的归属单位仍是地方协作平台下属的信息中心。
他知道，现在动手太早会打草惊蛇。
他拿起桌上的内线电话，拨通高河。“马上联系内网安全组，以‘例行维护’名义冻结编号XJ-307的终端外传权限，动作要轻。”
“明白。”高河的声音干净利落。
不到三分钟，系统反馈更新：该设备已进入隔离状态，所有传出数据被自动截留，并植入追踪标记包。
只要对方继续尝试传输，真实接收地址就会暴露。
秦天靠在椅背上，闭眼两秒。这不是单纯的泄密，而是一次有预谋的技术围猎。林家选了一个外包服务商做掩护，利用第三方权限漏洞插入操作节点，再通过伪装成系统更新的数据流转移证据。手法隐蔽，路径复杂，偏偏又不越界——至少表面上看，每一步都符合流程规范。
他睁开眼，打开另一个加密窗口，接入潜行的通讯频道。
“我要你盯住‘安盾信科’的外围网络，重点查非工作时间的远程登录记录，尤其是跨区域IP跳转。”
“已经进了。”潜行回复，“昨晚两点十七分有一次异常登录，源IP来自澳门，跳了三次才落地，操作账号是临时工用的测试号。”
“把这条路径存下来，和之前那个伪装更新包的中转节点做比对。”
“正在交叉分析……匹配度百分之八十二。”
秦天嘴角动了一下。不是巧合了。
他切换界面，调出一份名单，是近三年与“安盾信科”合作过的政府部门项目清单。这些项目大多涉及信息系统升级，而中标方式清一色为“单一来源采购”。他记下几个关键单位，随后拨通一个私人号码。
电话响了两声就被接起。
“老陈，最近审计厅那边有没有查到什么有意思的东西？”
“怎么，你也注意到了？”对方笑了一声，“前两天刚翻出一份报告，说某安保公司连续五年承接省级平台改造，合同金额年年涨，验收材料却全是模板复制粘贴。”
“这家公司叫什么名字？”
“安盾信科。哦，对了，背后控股方是宏远系。”
“谢谢，回头请你喝酒。”
“别光说不练啊。”
挂了电话，秦天把审计线索归入文档。制度漏洞、技术后门、利益输送，三条线开始交汇。林家没亲自下场，但每一环都带着他们的印记。
他重新打开“林线”文件夹，将新获取的信息逐一分类上传。此时潜行传来一张网络行为图谱：三条主要数据流向从“安盾信科”服务器出发，分别指向澳门匿名邮箱、境内两个空壳公司的云存储端口，其中一条路径在中途有过一次微小偏移，恰好绕开了国家信息平台的监测节点。
更关键的是，这张图里出现了第三个陌生IP段，频繁与前两者交互。虽然目前无法确认归属，但地理位置显示其注册地为东南沿海某自贸区，那里有不少挂着“科技咨询”招牌的皮包公司。
秦天记下了这个IP段编号。
他正准备进一步筛选关联企业时，手机震动。一条短信弹出：
“你查得越深，她就越危险。”