手指悬在回车键上，刘好仃忽然停住。
他记得，昨晚导出时，这份日志的大小是2.3MB。
现在，是2.5MB。
他没动，也没出声，只是把U盘拔了出来，夹进旧皮夹里，起身走到小吴工位前，低声说：“借你那台离线机用一下。”
小吴点头，顺手把电源线往角落扯了扯，确保没有网口接入。
刘好仃打开笔记本，插上U盘，把两个版本的日志文件拖进十六进制比对工具。屏幕左侧是昨晚的原始数据，右侧是刚保存的“新”文件。前半段完全一致，直到最后两千字节，右侧突然多出一段加密块，伪装成系统归档日志的格式，连时间戳都伪造得像模像样。
“不是系统自动备份。”他指着屏幕，“是有人在我们看不见的地方，悄悄塞了东西进来。”
小张凑过来：“这玩意儿能干嘛？”
“能监听后续操作，能记录我们查了什么，甚至能反向定位离线设备。”刘好仃关掉程序，“现在每台联网电脑，都不能信。”
他把异常代码截图，存进手机加密相册，顺手删了缓存记录。
第二天一早，四个人又聚在技术科角落的小会议室。门关着，窗帘拉了一半，桌上摆着三台断网的笔记本，还有一本崭新的硬皮笔记本，封面上贴着“静默守卫”四个手写字。
刘好仃把手机照片投到投影幕布上：“这是昨晚被篡改的日志末尾。攻击者已经能模仿系统行为，如果我们走常规上报流程，信息可能直接送到对方手里。”
老李皱眉：“那IT部门也不能信？”
“不是信不信的问题。”刘好仃说，“是他们一旦介入，流程就会留下痕迹。而我们现在要做的，是不留痕迹地查清楚——谁能在系统里加这段代码，谁有权限批准日志归档，谁能在不触发警报的情况下修改核心数据。”
小陈低声问：“我们自己查？”
“对。”刘好仃翻开白板上的攻击画像，“过去我们防的是外人撬锁，现在得防家里人拿钥匙开门。他们知道我们知道，所以一定会盯着我们的动作。我们得走暗线。”
小张翻开新本子，在第一页画了把锁，底下写：“谁有钥匙？”
刘好仃看了眼，没说话，只是从包里拿出一份手写流程草图。
“我昨晚想了一夜，定了个双轨方案。”他把草图贴在白板上，“第一轨，对外，加强日志审计频率，但不通过系统自动生成，改由我们手动提取关键节点数据，每天早晚各一次，纸质归档。”
老李点头：“这样就算系统被监控，他们也看不到完整链条。”