决定将调查重点从配置者转向连接路径的实际使用者。通报中提到，调查组将在接下来的工作中专注于识别连接路径的实际使用者的身份和操作模式。
当天下午，姜勃鑫在值房门口收到了柳主事通过内部系统发来的一条消息：“调查组的重点已经转向了连接路径的实际使用者。下一步可能会调用更多相关数据，来确认当前使用者的活动特征与操作范围。”
第五天上午，姜勃鑫在值房收到了技术处的实时监控通知：“功德司系统与编制优化办旧楼之间的连接路径中再次检测到了数据传输活动。传输方向与之前的方向一致，终点指向旧楼区域。数据包大小与之前的传输相近。”他在桌边读完了通知，确认了匿名操作者正在再次使用连接路径进行数据传输。他将当前的监控记录与之前的记录做了对比，确认了数据传输的特征与之前的传输高度一致。
当天下午，姜勃鑫在值房门口收到了太白金星通过内部系统发来的一条消息：“匿名操作者正在再次使用连接路径传输数据。数据包的特征与之前的传输一致。”
“匿名操作者的操作模式仍然保持一致。”
“如果匿名操作者的操作模式保持一致，那么他的行为是可以预测的。”
第六天上午，姜勃鑫在值房收到了门卫司的一份报告。报告中提到，在数据传输活动结束后不久，南天门主通道的值班区域出现了一次异常状态事件。报告中没有明确说明这次事件与数据传输活动之间的关系，只记录了事件发生的时间和数据传输完成的时间。他在桌边读完了报告，确认了异常状态事件的发生时间与数据传输完成的时间之间存在接近性，并且两者之间的时间差与前几次接近性的时间差在量级上较为一致。匿名操作者每次数据传输完成后，都会在南天门区域产生一次异常状态事件。
当天下午，姜勃鑫在值房门口遇到了孙校尉。他从南天门主通道的方向沿着云路走来，在值房门口站定片刻：“南天门主通道又出现了一次异常状态事件，时间与数据传输完成的时间接近。”
“匿名操作者每次数据传输完成后，都会在南天门区域产生一次异常状态事件。”
孙校尉在值房门口站了一段时间：“如果这个模式是固定的，那么每次数据传输完成后不久，都会有一次异常状态事件出现。”
“模式固定的情况下，可以通过监控数据传输来提前预知异常状态事件的发生时间。”
孙校尉在值房门口没有继续停留，侧过身沿着云路向南天
…。。