张磊的动作比苏晚预估的快了整整一天。
观察期第二天早上，她还没吃完早饭，门外就响了动静。不是液压门的声音——是工具箱碰撞金属地板的闷响，不止一个人。
苏晚放下勺子，坐直。
两个穿工装的人进来，没打招呼，直接开始活。第一个蹲在门口的角落，拆下原有的壁挂面板，露出后面的走线槽。第二个扛着一台带支架的设备，绕到苏晚的床尾，站在凳子上，对着天花板量了两个点。
高清摄像头。
苏晚一眼认出来了。型号不确定，但那个镜头的口径和原来走廊里挂的不是一回事——更大，意味着分辨率更高，低光环境下的捕捉能力也更强。
一个装在床尾正上方，拍摄范围覆盖整张床和终端作区。另一个装在门侧上角，斜切整个房间的对角线。
两台配合，盲区归零。
苏晚在心里把新的监控拓扑画了一遍。
然后第三个人进来了。这人没穿工装，穿的是安保制服，手里拿着一张打印出来的平面图。他没进门，站在门口，对着图纸核对了一下两台摄像头的安装位置，点了个头。
“活动区调整通知已经推送到终端了。”他对着苏晚说了一句，声音没什么情绪，像在念一条系统提示。
苏晚低下头，打开终端。
通知栏里多了一条红色标记的消息——
“据安全管理条例第14条第3款，1号实验体活动区域调整如下：保留睡眠区（A-1）及卫生区（A-2），暂停开放健康活动区（B区）及走廊散步通道（C-1至C-3）。调整即生效，恢复时间另行通知。”
苏晚看了两遍。
B区没了。C-1到C-3也没了。
之前她每天有三十分钟在B区做简单的身体活动——拉伸、走步、原地蹲起。不是她想做，是“实验体健康维护方案”里的硬性要求，陈远知签字批过的。C-1到C-3是走廊的三个区段，每两天她可以在安保陪同下走一趟，单程大概一百二十步。
现在，她的物理活动范围只剩下这间十二平方米的房间。
床、终端、一个窗户（密封的）、一扇门（从外面锁的）。
以及两双盯着她的电子眼。
张磊的手法没什么花巧，就是物理收缩。把你能去的地方砍掉，把你看得见的东西减少，把你暴露在监控下的面积增大。
不需要审讯，不需要恐吓，甚至不需要和你说一句多余的话。
用空间挤压你的作余量，直到你除了乖乖待着，不了别的。
苏晚把终端放下，往床头靠了靠，把被子拉到腰上。
标准的“接受现实”肢体语言。
不反抗，不追问，不在脸上露出任何“我有意见”的表情。
因为对于张磊这种人来说，你越安静，他越放心。你稍微流露一点不满，他反而会记下来，标一个“需要关注”。
所以——安静。
绝对的、让他看了觉得放心到无聊的安静。
两个工程师开始装第二台摄像头。
苏晚保持着半靠在床头的姿势，眼睛半睁半闭。呼吸稳定，心率稳定——她知道生理监测在跑，任何数据异常都会触发告警。
但她没闲着。
装第二台摄像头的工程师站在凳子上，笔记本电脑架在旁边的折叠支架上，屏幕面朝墙壁。他需要在笔记本上完成摄像头的初始化配置——对焦、帧率、编码格式、网络接入参数。
屏幕面朝墙壁。
但那面墙是浅灰色的。涂层在末世第三年已经开始老化，某些区域的表面会产生微弱的反光——尤其是在旁边有光源的情况下。
工程师笔记本右上角的电源指示灯是蓝色的，屏幕亮度调得不低。
苏晚的位置在床头，和那面墙之间的角度——她快速估算了一下——大概三十五度。
刚好能在墙面的反光里看到屏幕内容的一部分。不是全部。分辨率也不高，很多字看不清。但布局能看到——窗口的位置，输入框的位置，按钮的位置。
工程师开始敲键盘。
苏晚的眼睛对着天花板，视线的实际焦点落在左侧墙面那块老化涂层上。
第一个画面：配置界面的顶部，有一行地址栏。反光里看不清完整的字符，但IP地址的格式她认得——四段数字，用点隔开。前两段的数字她能分辨：10.42。后两段模糊，但第三段的轮廓像是16或18。
10.42.1X.XXX。
内网地址段。10开头说明是私有网络，42这个第二段不是常规的默认配置，是手动划分的。
第二个画面：工程师切到了一个命令行窗口，输入了一串字符。速度很快，苏晚只抓到了片段——端口号，四位数，第一位是8。8开头的端口，常用的有8080、8443、8888。
她没法确定是哪一个，但范围缩到了三个。
第三个画面：工程师打开了一个网页界面。布局很典型——左侧导航栏，右侧内容区，顶部有logo和用户名。导航栏的第一项，苏晚从反光里辨认了几秒，大概率是“设备管理”三个字。
配置界面。安保系统的配置界面。
十分钟。
两个工程师从搬设备到调试完成，一共花了四十分钟出头。其中调试阶段大约十分钟。
在这十分钟里，苏晚记下了：内网地址段的前三位（10.42.1X），可能的端口号范围（8080/8443/8888），配置界面的基础布局框架，以及至少四条工程师在命令行里输入过的指令片段。
不完整。碎片化。靠反光辨认的信息天然就有误差。
但够了。
这不是一把钥匙，是一张地图的边角。但地图有了边角，中间的部分可以靠逻辑推出来。
工程师收拾工具的时候，站在门口的安保人员走进来，用自己的终端对着两台摄像头各扫了一下，确认信号正常。
“1号，新设备是安保系统的常规升级，”他说，“不影响你的常作息。”
苏晚点了下头，没说话。
“常作息”。
有意思的措辞。意思是——你的“常”，现在就是在这十二平方米里吃饭、睡觉、看终端。除此之外，什么都没有。
门关上了。
苏晚在脑子里把新的监控布局重建了一遍。
两台新摄像头加上原有的一台，总共三台。原来那台在门上方正中，拍摄角度基本是平视的俯角。新的两台一台在床尾、一台在门侧上角——三角布局，全覆盖。
她的终端屏幕在这个布局下完全暴露。任何一个监控画面都能清晰拍到她在终端上的作内容。
也就是说，以后她在终端上做任何事，都默认有人在看。
这一点张磊算得很准。
但张磊不知道的事情也很多。
比如他不知道，就在他精心设计的“硬隔离”方案落地的过程中，他的工程师已经在无意中把系统的一角掀给了苏晚看。
硬隔离。
苏晚在脑子里咀嚼这个概念。
张磊对“隔离”的理解是物理层面的——缩小你的空间，增加你被观察的密度，切断你和外部的一切接触渠道。从他的逻辑出发，一个被关在十二平方米房间里、全天候处于三台高清摄像头监控下、只有一台被严格权限的终端的实验体，能搞出什么名堂？
答案是：什么都搞不出来。
如果这个实验体真的只是一个“实验体”的话。
问题在于，苏晚不是。
她现在有的东西不是工具，不是武器，不是某个可以撬锁的金属片。她有的是信息。具体来说，是关于安保系统基础架构的碎片化信息——地址段、端口范围、界面布局、指令片段。
这些东西单独拿出来，一文不值。
但信息的价值从来不取决于它本身，取决于拿着它的人能推导出多少东西。
苏晚闭上眼，开始推。
10.42.1X.XXX。内网地址段。10.42说明安保系统和科研系统不在同一个子网里——她之前在终端的网络诊断工具里看到过，终端的IP地址是10.38开头的。两个不同的子网，中间一定有和防火墙。
但这两个子网必须通信。科研那边的实验数据要和安保那边的监控数据做交叉比对——最简单的例子，陈远知的团队要看苏晚的实时生理数据，这些数据的采集源头挂在安保系统的子网里。
通信就需要协议。协议就需要端口。端口就是门。
门有两种——前门和后门。
前门是正经配置的通信端口，有认证、有加密、有志。张磊这种人，前门一定守得死死的。
后门呢？
苏晚睁开眼，在终端上打开了一个被允许访问的公共信息页面——“设施基础设施维护公告”。
这个页面没什么敏感内容，就是常的维修通知、停电预告、系统升级公告之类的东西。权限上属于对所有终端开放的最低级别信息。
苏晚往回翻。一页一页地翻。
七天前的公告：B-3区走廊照明更换，预计施工两小时。
十二天前：中央空调滤芯更换，A区临时断供。
十八天前：能源管理系统例行维护，预计影响范围——
苏晚的手指停了。
“能源管理系统例行维护。维护窗口：03:00-05:00。维护内容：EMS v2.1补丁更新。注意事项：维护期间，与EMS关联的子系统可能出现短暂的数据延迟，预计不超过30秒。涉及子系统包括——环境控制、照明管理、安保监控数据缓存。”
安保监控数据缓存。
挂在能源管理系统下面。
苏晚把这条信息读了三遍。
能源管理系统，EMS，版本2.1。这是旧系统。末世之前就部署的基础设施管理平台，管的是电、暖、照明这些硬件层面的东西。而安保监控是后来加上去的功能模块——末世之后，资源紧张，没有条件为每套系统都单独建设独立的基础设施，只能在现有平台上做扩展。
新系统搭在旧系统上面。
就像往老房子上面加盖一层楼——新楼可以装最好的锁、最厚的门、最先进的报警器，但它得通过老房子的楼梯上去。
老楼梯的结构，和新楼的安全等级之间，天然存在代差。
EMS v2.1的通信协议是公开标准。苏晚在原著的知识库里检索了一下——MODBUS/TCP，工业控制领域的老协议，简单、稳定、兼容性强。
也几乎没有安全认证机制。
因为这套协议设计出来的时候，本没考虑过“有人会从内部发起攻击”这个场景。它是给机器和机器之间说话用的，不是给人用的。
但安保的新系统为了拿到EMS的供电数据和环境数据，必须兼容这套老协议。
兼容就意味着新系统上有一个端口，在说MODBUS的语言。
后门。
不是有人故意留的。是系统架构的历史遗留问题，是末世资源匮乏条件下的工程妥协。
但对苏晚来说，成因不重要。存在才重要。
她把终端屏幕切回到正常的阅读界面，随机点开了一篇健康科普文章，让画面停在一个无害的页面上。
新摄像头在头顶嗡嗡地转。
张磊觉得她被关死了。物理层面确实被关死了。但信息层面——他亲手派来的工程师，在他亲手设计的升级方案执行过程中，把钥匙的形状亮了出来。
苏晚没有笑。上次笑了一次，已经冒险了。不能养成习惯。
她在脑子里把已有的信息碎片重新排列了一遍。
内网地址段：10.42.1X.XXX。
可能的管理端口：8080/8443/8888。
配置界面结构：左栏导航、右区内容、标准B/S架构。
底层依赖：EMS v2.1，通信协议MODBUS/TCP。
系统维护窗口：通常在凌晨三点到五点。
维护期间安保数据缓存延迟：约三十秒。
六块碎片。不够拼出全貌。但够推导出一条路径——从终端出发，经EMS的MODBUS端口，绕进安保子网的边缘。
能走多远？不知道。
能做什么？也不确定。
但路径本身的存在，就是价值。
苏晚把这条路径在脑子里封存好，转向另一个方向。
终端的公开信息流里，最近三天有一个词频明显上升——“数据安全”。出现在设施管理公告里、出现在内部信息简报的标题中、出现在一份模糊的会议纪要摘要里。
这东西以前不会被推送到实验体终端上来。但观察期改变了信息推送的权重——高强度实验暂停后，系统认为苏晚的终端闲置率上升，自动补充了一些低级别的公共信息来“丰富使用体验”。
官僚系统的善意，偶尔比恶意有用。
苏晚在信息流里翻到了一条今天上午发布的简报摘要——
“A区数据安全专项检查第二阶段启动，由王副博士牵头，预计为期两周。各部门配合提交近三个月的数据访问志。”
王副博士。
这个名字第一次出现是在两天前的一条公告里，当时的上下文是“信息安全委员会委员名单”。苏晚没太在意。但连续三天在不同的文档里看到同一个名字，出现频率高到反常。
一个人的名字在公开信息里频繁出现，只有两种情况：他正在被提拔，或者他正在揽权。
王副博士——苏晚在原著的记忆里翻了翻。没有。这个人在原著里没出现过，或者出现了但她没注意到。
但有些事不需要原著记忆也能推出来。
“王副博士”这个称呼本身就有信息量。在神盾集团的架构里，“博士”是一级研究员的通称。“副博士”意味着他是二级，低陈远知一档。但他牵头的是“数据安全专项检查”——这个职能跨部门、有审查权、需要各部门配合。
二级研究员拿到跨部门审查权。
这人要么是决策层的人，要么正在往决策层爬。不管哪种，他和陈远知之间的关系不会太融洽。
同一个池子里的鱼，水面就那么大。
苏晚把这条线索拎出来，和前面的东西摆在一起看——
陈远知的因为S级样本报废进入了停滞期。科研团队的进度压力在上升。而恰好在这个节点上，一个名叫王副博士的人拿着“数据安全”的旗子，开始往各部门的志里翻。
苏晚不需要亲眼看到研讨室里的场景也能猜到，陈远知的团队现在是什么气氛。
进度停了，KPI在头上悬着。高阳的保守方案虽然被采纳了，但“暂停ST-B”意味着这个季度的产能缺口无法弥补。周明昕的药剂组要背“配方不够完善”的锅，总不能让所有人都满意。而张磊那边刚花了人力物力做安保升级，报告还没写完。
这时候再来一个跨部门审查——
苏晚不由得在脑子里给这个时间线打了一个标记。
她的过敏事件，张磊的安保升级，王副博士的数据安全检查。三件事在时间线上靠得很近。
巧合？可能是。也可能不是。
但不管是不是，这三件事叠加在一起产生的效果是确定的——陈远知的团队同时面对三个方向的压力：进度、安全、审查。三线并压，内部协调成本会急速上升。
内耗。
苏晚不需要制造内耗。她只需要在合适的时候，往已经存在的裂缝里滴一点水。
那个MODBUS协议的后门，就是她手里的水管。
但不是现在。
时机不对。安保刚升级完，所有人的警觉性都在高位。张磊的注意力还挂在她身上，陈远知的基线重测还没结束。现在动任何手脚，被发现的概率太高，收益和风险不成比例。
她需要等一个窗口。
什么样的窗口？
苏晚想了想，列出三个条件：第一，张磊的注意力从她身上转移——可能是因为另一个更紧急的安全事件，也可能是因为常化之后的松懈；第二，陈远知的基线重测出了结果，团队重新进入工作节奏——忙碌的人比闲着的人更容易忽略异常；第三，王副博士的数据安全检查进入实际执行阶段——到时候各部门都在忙着应付审查，一个小小的数据波动会被淹没在噪音里。
三个条件同时满足的时候，就是她动手的窗口。
在那之前，她什么都不做。
什么都不做，本身就是一种行动——让张磊的监控志上，连续十天、二十天都是一条平直的线。让所有人习惯“1号实验体安安静静，配合观察，没有任何异常”这个判断。
伪装不是演一时。是让一个假象持续足够久，久到所有人把它当成真相。
苏晚翻了个身，闭上眼。
新安装的两台摄像头忠实地记录着她的侧脸——安静，放松，呼吸均匀，没有任何值得关注的细节。
在画面看不到的地方，她的大脑在二十七种可能的时间节点之间做着排列组合。
什么时候动手不重要。重要的是——动的那一下，要让人查三天都查不到头上来。