外籍技术组长锁库架空团队，核心代码权限如何失控？

这是最近在上海张江传开的一件事。一家做跨境电商 SaaS 的民营公司，招来了一位印度裔技术组长，印度理工学院毕业，在亚马逊印度干过三年。入职时，大家都觉得是请来了大神。

第一个月，他给 HR 发邮件说需要扩充团队，还推荐了几个“以前共事过的兄弟”。
第二个月，七名印度籍新员工陆续入职。
第三个月，他打着“代码安全合规升级”的旗号，把核心代码库的写入权限，收窄到只剩自己和新来的七个人。
第四个月，两名本土程序员上班时发现，自己的账号被禁用了。

涉事企业的创始人后来自己也承认，当初招这个人，是想拿“国际化团队”当宣传亮点。代码仓库最高权限、服务器管理权、人事任免权，一股脑全交给一个入职不满四个月的人。心是真的大。国内不少民营软件企业，都存在核心权限过度集中的问题。能把代码权限直接甩给单一负责人的不在少数，而真正建立完善权限分级体系的，比例却很低。

顺着这件事往下说，之前深圳南山那边，还有个更离谱的。

一位印度裔总监，在职十个月，把算法团队从 12 人扩到 40 人，其中 33 人是印度裔。后来他提离职，理由是“回国照顾生病的母亲”，HR 还专门给他办了场告别会，祝他前程似锦。结果 IT 部门做账号交接时发现，他离职前三天，云盘产生了巨大的下载流量，将近 20 个 G。

都下了些什么呢？未来三年的技术路线图、核心推荐算法的完整架构文档、还有供应链系统的灾备方案。

法务随后发了律师函，要求对方签署数据销毁承诺书。但发出去后石沉大海，一个字都没回。合同里的竞业限制和数据保护条款写得太模糊了，那份“保密信息”的定义，甚至都没把“技术路线图”这种战略文档囊括进去。结果就是，官司都没法打。

这些事儿听着已经够离谱了，但要跟保变电气的遭遇比起来，还是小巫见大巫。

2012 年，保变电气与印度阿特兰塔电气合资建厂。中方占股 90%，出钱、出技术、出设备，印方基本就出了一块地皮。接下来七年，保变电气分 12 批、把 200 多名印度工程师送到保定总部培训，从最基础的绕线圈开始教，一路教到 765kV 超高压变压器的设计制造。整条产线搬了过去，全套图纸、工艺包也全部交了出去。到了 2019 年，印度工厂实现了全部本地化制造。

之后剧本就开始翻转了。印度出台了国产化政策，要求特高压工程至少使用 51% 的本地设备。那 200 多名亲手培养出来的印度工程师，集体跳槽到了阿特兰塔电气，走的时候带走了全部技术文档。到 2023 年，合资工厂全年营收只剩下 3 万元。2025 年 5 月，保变电气以 1.37 亿元清仓了 90% 的股权，含泪离场。

所有事情的教训都一样：你的核心资产，绝不能全押在别人身上。像代码库、服务器权限、技术图纸这类命脉，从一开始就得建立好分级管控与审计体系，而不是基于信任就把钥匙全交出去。如果你正巧在搭建或盘点团队的 运维/DevOps/SRE 流程，这或许也是一个检视权限盲区的好时机。