实是：你们在关键时间点创建了无审批引用的高危凭据，并且该凭据在24小时内被访问63次。我们会把这条写进阶段报告。”
第三项：固定流水线脚本内容。
取证员打开RouteGuardian-Prod的PipelineScript。屏幕上出现熟悉的几行：刷新token、绑定高危scope、触发恢复动作、冻结受阻则请求控制权变更。那句最刺眼的开关依旧在：
**AUDIT_REF_OPTIONAL=true**
这不是“可选项”，这是“默认绕过”。默认绕过意味着制度被设计成“可以不走”。
周负责人问合规负责人：“这个变量谁设置的？为什么是true？有没有安全评审记录？”
合规负责人咬着牙：“这可能是工程师为了效率临时加的。”
周负责人没有反驳，只看运维主管：“你是主管。你告诉我：这条流水线脚本是否经过你们变更管理？是否有审批？谁批准上线？”
运维主管额头汗冒出来：“我们……我们有变更流程，但自动化脚本改动有时——”
监管联络人直接把话截断：“‘有时’就是漏洞。你们今天必须提交变更流程证据：该脚本的版本历史、审批工单、评审记录。没有就记为流程失效。”
取证继续推进。
第四项：固定制品仓库与发布目标。
取证员打开制品仓库，找到18:52与04:05对应的构建产物版本。发布目标列表里出现两个环境：CN主环境、APAC回退环境。林昼看到“APAC回退环境”那行，胸口又是一紧——这意味着管道层面已经把跨区回退作为“可发布目标”，而不是临时手工操作。
更关键的是，04:05那次“ForceDeploy”的发布目标勾选了“控制策略配置包”。也就是说，那次发布不只是代码更新，还可能重写策略配置。
这与“强制推送重写代码历史”的疑点，彼此照应：他们在同一时间点，既动了代码历史，又动了发布管道。
周负责人要求把04:05的发布详情全量导出：发布包内容清单、变更差异、发布审批链、回滚记录。系统提示：审批链字段为空。
又是空。
空不是偶然，空是习惯。
---
十点二十六，最尖锐的问题终于落到“谁”的层面。
网安技术人员要求提供itil_admin账号的登录轨迹。控
本章未完，请点击下一页继续阅读！