信息中心主任在电话里说：“我们封了sec.bridge后做过扫描，没有发现明显的异常IM服务。”
许衡摇头：“异常服务不一定在你们内部网络。它可能在你们的云环境，或者在外包环境。更关键的是，它不一定是独立IM，它可能伪装成‘告警系统’或‘工单通知系统’。”
工单通知系统。派单的壳。告警系统。紧急的壳。
周砚忽然想到：他们一直追派单来源，却忽略了派单“通知链”。派单不靠工单系统本身，而靠通知链把任务推给外包人员。通知链如果被控制，就能绕过冻结。
“你建议怎么查？”周砚问。
许衡说：“给我你们最近三个月的通知系统日志：邮件网关、短信网关、IM机器人、工单推送服务、物业外包系统推送接口。我们会找一个共同特征：‘短指令、固定节奏、同一标识’。然后我们能反推会话中心的授信实体。”
顾明立刻协调日志。第三方在隔离环境里做了半天交叉分析，晚上九点，许衡把一张图投在屏幕上，语气第一次带上确定性：
“我们找到一个共同源头：一个名为**notify.exec**的推送服务。它同时向工单、物业外包、短信网关推送短指令。它的认证方式使用了你们令牌发放服务的‘临时授权包’。也就是说：令牌发放服务是刀，notify.exec是手。”
顾明感觉背脊发凉：“notify.exec在哪？”
信息中心主任声音变低：“在云上。属于以前的‘应急通知平台’，名义上是集团办公室牵头建设，为了应对重大会议与突发事件通知。”
“又是应急。”梁总咬牙。
许衡继续：“notify.exec的部署账户使用了ga.pipeline自动化链路。也就是说：ga.pipeline可以改授信规则，notify.exec可以发指令。两者合起来就是一个完整的装置控制链。”
装置终于从说明书变成了实际系统链路：ga.pipeline→授信规则→临时授权包→令牌发放→notify.exec→派单/通知→外包执行→撤退指令→清痕/静默。
幽灵不再飘。它有路径，有服务名，有认证方式，有变更记录。
“这足够让幽灵落地。”陆律说，“至少从治理角度：这是未经授