夜九的远程演示，安排在当天下午。

沈既白吃过午饭在客厅等了一会儿，夜三调好设备过来叫她。地点还是傅夜霆的书房，圆桌上摆着笔记本电脑和一个小型投影。傅夜霆已经坐定，手里端着一杯温水，看见她进来，微微抬了抬下巴，示意她坐到旁边。

夜九的窗口准时亮起。画面比昨天清晰了许多，背景是一间宽敞的房间，身后一排服务器机柜的指示灯幽幽闪烁。他今天穿深色长袖T恤，头发扎在脑后，整个人精神不错。他对着镜头打了个招呼，直接切入正题。

我昨晚把南美节点被入侵的线重新追了一遍。入侵者的手法比我们预估的更复杂——不是单纯的物理入侵或远程渗透，是混合手法。先通过远程访问植入一个潜伏型后门，程序在系统里休眠了近五个月，等到时机才被激活。激活后自动执行预设操作，全程不需要人工干预，做完自动清除痕迹。他顿了顿，这种手法，我只在几个顶级情报机构的技术档案里见过。民间层面，几乎没人能做到这个程度。

夜九调出数据流和代码片段，一边展示一边解释。语速很快，术语一个接一个往外蹦，但条理分明，每一步的逻辑都交代得明明白白。沈既白坐在旁边安静听着，偶尔在某个界面闪过的时候微微眯一下眼，像在辨认什么。

讲到一半，他切到一张拓扑图——暗夜内网各节点的连接关系和数据流向。他用鼠标圈出中间偏右的一个节点，它连着至少四条数据通道。

这是核心交换节点，所有跨区域的数据传输都经过这里。后门就植在这个位置上，所以它能监控所有流经的数据。我熬了一夜写了个新的监测模块，把这个节点包起来了。以后再有人动手，我能第一时间捕捉到异常信号。

说完，他敲了几个键，准备切到下一页。

等一下。沈既白开口了。

你刚才说，后门程序是预设触发、自动执行的。那你查过触发条件本身吗——是时间触发，还是事件触发？

夜九的手指停在键盘上。他偏头看向屏幕外，表情在那一瞬间，像是被人问了一个他压根没想过的问题。他沉默两秒：时间触发。定在五月十七号凌晨两点。那个时间点，总部没有任何预定维护，内网处于低负载状态——后门在那时候激活，最不容易引起注意。

沈既白点了点头：那你查过，五月十七号凌晨两点前后，暗夜内部有谁登录过系统吗？

夜九又沉默了一拍。他低头在另一个界面上快速操作，调出一份登录日志，扫了几眼，抬起头来——表情跟刚才不一样了，像是发现了什么被自己漏掉的东西。那个时段确实有一条登录记录。身份ID，还是夜九本人的。登录持续约三分钟，操作内容是在核心交换节点上，运行了一次常规的系统健康检查。这个操作本身是合规的，日常维护里经常做，所以排查时我没把它列为异常。