提出一个“安全退出方案”。

他们说：在监管与平台限制下，他们难以保证服务SLA，建议医院启动服务迁移，由供应商提供三十天过渡支持，期间需要医院签署“风险告知确认”，并允许供应商在必要时申请例外解除部分冻结限制。

这是一种很典型的策略：当暗门被发现、权柄被逼回收，他们就把问题改写为“我们承担不起责任，所以我们退出”。退出本身并不违法，但把退出作为筹码，逼医院签“风险确认”、逼监管放松冻结，就是另一回事。

接收医院信息安全负责人把这份方案看完，回复很稳：“迁移可以讨论，但在证据保全与整改完成前，不讨论解除冻结。过渡支持必须在保全令框架内执行。任何风险告知必须基于审计事实，不基于恐吓假设。”

监管也回：“退出与迁移属于商业行为，不得用于对抗取证与整改。保全令优先级高于迁移安排。”

供应商合规负责人沉默了。

沉默里往往藏着另一个动作：他们会在不说话的地方动手。

夜里十一点，第三方平台协查联系人发来一条高优先级告警：

“检测到该租户出现一次异常的双重签名请求：请求类型为Freeze.ControllerChange，发起方标识为未知服务主体，来源IP非供应商办公网段。请求已被系统挂起，等待医院侧控制账号签名。若医院误签，将触发控制权变更。”

林昼看到这条告警，心口猛地一紧。

冻结控制权变更请求，来自未知主体。

这不是白天的流程讨论，这是夜里的钩子。对方可能知道平台已经“需双重签名”，于是换了方式：把签名请求推到医院侧，让医院自己误触发。

只要医院侧有人疲惫、有人误点、有人把它当成正常审批，钥匙就可能被偷走。

信息安全负责人立刻在值班群里下发指令：所有涉及Freeze、GeoFence、Priority、ProbeWindow的签名请求，必须由两人复核（值班安全官+信息安全负责人），任何单人不得签名。并且立即把医院侧控制账号的签名通道切换为硬件令牌确认，防止误触。

周负责人也被拉进群，给出一句建议：“把这次异常签名请求固化为取证事件，导出原始字段并哈希，作为‘对抗保全令行为’线索。”

监管随后追加了一条简短但分量极重的指令：“供应商立即说明该请求发起主体与来