只有四个字。
先退会话。
发送人显示为短号。
现场人员立即断开设备外联，保留内存状态。
这条提示没有写明是谁。
却证明封控命令下达后，有人仍在指挥备用终端退出登录。
老人看着实时画面，问：“现在够不够现行？”
周远帆没有借机把结论说得更大。
“够证明封控后仍有人试图恢复权限、清理会话。至于短号是谁，需要继续查。”
老人点了一下头。
这就是证据边界。
该说够的地方不能退。
不够的地方也不能跨。
第二道警报来自北山。
三号协调账号在冻结后收到一次状态回拨。
回拨没有成功进入系统，只在边界设备留下握手请求。
请求内容不是正文。
只有席位状态码和一个问号。
像门外的人在确认灯为什么突然灭了。
秦正国要求北山现场不要回应。
任何回应都可能让对方判断封控范围。
技术组只固定源地址和时间，不沿线反向扫描。
“为什么不追？”有人问。
“现阶段任务是保全，不是在线对抗。”秦正国说，“追得太快，对方可能主动销毁上游。”
负责人认可这个判断。
封控不是抓住每一次闪动的冲动。
是先让所有闪动都留下不会消失的记录。
四十七分钟内，系统共出现五次异常动作。
两次恢复权限。
一次切换备用节点。
一次退出会话。
一次上口回拨。
这些动作来自不同设备，却都围绕同一件事：
让已经被按住的说明链重新动起来。
这条边界一旦划清，藏在沿革里的模糊空间便迅速缩小。