坐在电脑前，手机仍旧屏幕朝上。那串“ROOM-ADM-7”的账号入口还像一根刺，但刺并不需要拔出来展示，它只需要留在证据里，让后续每一步审计都能对齐同一条控制链。

---

###1）会话令牌：比口供更硬的“谁在控制”

上午七点四十，平台侧保全包的第一批细化数据送到。里面最关键的不是登录IP，也不是昵称，而是一串串会话令牌的生命周期记录：谁发起会话、会话持续多久、在哪个权限动作之前刷新、在哪次二次验证之后重签。

罗工把会话令牌放到图里，像把血管画在骨架上。九分钟窗口里，控制账号会先刷新令牌，再开批量邀请权限，再触发表单字段变更，然后关闭权限。动作路径极稳定，稳定到像在背某种流程。

“这不是临时操作。”罗工说，“是标准作业。标准作业意味着有人训练，有人要求，有人检查。”

周工点头：“检查的人就是发令机骨架。”

纪检联络员把视线落在那串会话令牌的一个共性上：每一次关键动作前，令牌的刷新时间与一个外部事件高度同步——同一写字楼的网络出口出现短时峰值。峰值持续八到十分钟，与九分钟窗口几乎重叠。

“近场控制。”她说。

罗工补充：“而且峰值发生在夜间语音房潮汐前后。说明控制者在‘开潮’前做准备，在‘退潮’后做收尾。”

护士长听到“开潮”，忽然想到病区里那些最容易在夜里焦虑的人。对方选夜里，是因为夜里人最脆弱。现在他们把夜里变成证据，等于把脆弱也回收了。

纪检联络员指了指屏幕：“把‘峰值网络出口’和文化传播工作室所在楼的出入记录对齐。不要去问谁，先让数据说话。”

周工立刻明白她的意思：拎影子最怕的就是“主观判断”。你越觉得像谁，就越容易误判。数据对齐才是唯一的锚点。

---

###2）门禁与宽带：影子总要经过门

上午九点，线下组传来两组信息：写字楼门禁在过去一周内的夜间刷卡记录，以及该楼层宽带的设备接入记录。门禁记录显示，在九分钟窗口前后，总会有一个卡号在楼层入口出现，刷卡时间与后台权限动作的起止高度