07:52，周砚到公司时，天还带着一层薄雾。电梯门打开的那一刻，走廊尽头的灯管发出轻微的嗡鸣声，像某种持续运转的提醒：今天会有人试图用“流程”这把刀割掉他的空间。
他没有直接去工位，而是先到打印区把昨晚整理的资料打了一套纸质包。封面只写了四行：
《开放日现场风险与证据编号清单》
版本：V1.2
编制人：周砚
日期：2025-12-31
封面后面是目录，目录里所有条目都带编号：OD-QR-001、OD-QR-002、OD-QR-REF-001、威胁短信编号、尾随记录编号、现场隔离策略编号。每一条下方都有“来源、时间、见证、存放位置”四个字段。周砚把这一套资料装进牛皮纸袋，封口处贴了封签，签上自己的名字，并在封签交叉处画了两条线。
他不是在演戏，而是在把自己从“可以被描述的人”变成“只能被引用的事实”。
08:24，内控负责人发来会议提醒：
“08:30闭门复核会，地点：17F小会议室。参会：内控、IT运维、安全支持、梁总。你带现场编号资料即可。”
周砚回了一个“收到”，把手机扣在桌面上，深呼吸一次。闭门复核会的危险不在于谁会拍桌子，而在于会议结束后，结论会被写进记录里。那份记录会决定“谁有责任、谁需要整改、谁需要退出项目”。
对手真正想要的，不是解释，而是结论里出现一句：
“周砚在关键阶段造成不必要的升级、影响项目协同。”
他要做的，是让结论里只能出现另一句：
“存在人为干预链路，需按事故追溯处置。”
08:29，周砚到17F小会议室门口时，已经有人在等。IT运维的负责人姓郭，平日不怎么露面，但一旦涉及账号权限、堡垒机、交换机端口，他就像保险柜一样沉默而坚硬。安全支持联系人坐在角落，手里拿着一个黑色文件夹，眼神扫过周砚时点了下头。梁总还没到，内控负责人已经坐在主位旁边，桌面上摆着一份厚厚的打印件。
周砚把牛皮纸袋放到桌上，自己没有急着坐下，而是站在白板旁边，等梁总进来之后再开始。
08:33，门开。梁总进来时没说多余的话，只扫了一眼在座的人，坐下，声音干脆：“开始。今天只谈事实、链路、动作，不谈情绪，不谈猜测。”
内控负责人点头，翻开打印件：“我先把背景说清楚。监控离线窗口工单复核中，我们确认了一个临时账号在离线窗口前十五分钟登录堡垒机，并执行了配置命令。随后监控链路出现离线。账号命名不符合常规，属于服务台临时账号池，生成时间在当天上午。现在的问题是：谁申请、谁审批、谁使用、谁获益。”
郭工把笔放在桌上，接过话：“补充一句。堡垒机是强制审计的，命令记录在，但如果申请链路被故意做成‘紧急工单’，审批字段空白或挂在某个通用组上，就会造成追溯难度。我们能查到的，是操作事实；申请事实需要服务台系统和邮件系统对照。”
梁总看向内控负责人：“你说‘服务台临时账号池’，具体怎么回事？”
内控负责人把一张表推到投影上。表格里有一串账号名、生成时间、申请单号、审批人字段。她用激光笔点了两行：“这两个是关键：
账号：TMP-OPS-12XX
生成时间：10:14
申请单号：SD-URG-39XX
审批人字段：空
备注：‘现场排障紧急，需堡垒机权限’
——
账号：TMP-OPS-12XX（同一账号）
登录时间：10:47
登录IP：302区域访客网段转跳
执行命令：端口镜像调整、ACL临时放行
离线发生：11:02”
投影光打在墙上，冷得像一块冰。周砚看到“302区域访客网段转跳”这一行，心里像被什么东西轻轻撞了一下：302不是一个“偶然地点”，它是过去那场“公用电脑、共享账号”风暴的核心现场。对手把同一个地点当作舞台重复使用，意味着他们不是临时起意，而是有一套惯用的路径：让事件发生在最容易被“说不清”的地方。
梁总问：“谁提交的紧急工单？”
内控负责人翻页：“工单提交人账号是‘helpdesk.agent03’，属于服务台坐席账号。正常流程是：业务方提出需求，服务台创建工单，必须挂业务负责人审批，哪怕紧急也要补审批。问题在于这单的‘业务发起人’字段被填成了一个通用邮箱：project_support@***，并且备注里写了‘阿远确认’四个字。”
会议室里空气瞬间变得更稠。郭工的眼神抬起来，安全支持联系人轻轻吸了口气，梁总的手指在桌面停住。
“阿远确认？”梁总慢慢重复了一遍，语气不高，却像把门关上，“这是你们系统里能看到的原话？”
内控负责人点头：“是。备注文本原样保留。我们还调了服务台系统的编辑记录，备注是在10:13由坐席补录的，不是自动生成。”
梁总看向周砚：“你昨天提到有人试图收口、让风险内部消化。现在看，确实有人在做‘让链路看起来像紧急、像误操作’的设计。你有什么补充？”
周砚把牛皮纸袋打开，拿出资料包，先递给梁总一份，然后按顺序把编号贴在白板上：“我补充两条事实线，一条是现场物料线，一条是人身干预线。
物料线：OD-QR-001，物料箱内发现异常域名贴纸；OD-QR-002，临时人员携带贴纸试图现场替换；OD-QR-REF-001，正常贴纸参照样本。内控邮件已说明OD-QR-001耗材与市场部批次一致，且存在市场部临时领用登记，登记人‘王远宁’，审批空白。
人身干预线：威胁短信明确提到‘周末别去现场’，我已归档留痕，并由安全支持协助确认尾随风险。”
他没有评价“谁坏”，也没有说“我怀疑谁”，只是把事实像钢筋一样立起来。
内控负责人翻看资料包，点头：“编号体系很好，便于交叉验证。”
郭工却突然开口：“我关心一点。登录IP显示从302访客网段转跳，这意味着有人要么在302附近用访客网接入，要么通过某个跳板把IP伪装到访客网段。我们需要查当时302的AP接入名单和MAC地址记录。这个能给我吗？”
安全支持联系人接话：“AP接入名单我能从现场侧配合取，前提是你们IT运维出具正式申请。我们现在要做的是今天之内把‘302接入设备’拉出来，和门禁、监控、工位资产编号做对照。”
梁总点头：“按事故级别，你们两边立刻协作。内控牵头，IT运维提供系统日志，安全支持提供现场侧数据。我只要一个结果：申请链路和使用链路能不能对上人。”
会议推进到这里，本该进入技术细节。但对手最擅长的，往往不是技术，而是把技术问题变成“管理问题”。果然，内控负责人翻到最后一页时，停住，抬头看梁总：“还有一条。服务台坐席补录备注‘阿远确认’这件事，我们需要确认阿远是否真的下达过口头指令。如果是，属于流程违规；如果不是，属于冒用名义。两种性质都很严重。”
梁总的目光冷下来：“我会找他。但在此之前，先把事实定性：紧急工单审批字段空白，是制度漏洞还是人为故意？”
郭工回答得很直接：“制度上可以要求补审批。系统上也可以强制。现在之所以能空白，要么是权限配置过宽，要么是有人用服务台管理员权限绕过了校验。无论哪种，都不是‘正常操作’。”
安全支持联系人补了一句：“再结合现场物料替换企图，和威胁短信，属于同一组对抗动作：破坏开放日节点，让项目从‘可交付’变成‘可争议’。”
梁总沉默了两秒，像在脑子里把所有线拧成一股绳。然后他抬头，对内控负责人说：“今天出一份阶段性结论，口径写清楚：存在人为干预的高度可能性，必须追溯。不要用‘疑似’把力度写没。”
内控负责人点头：“我会写‘存在异常工单、异常账号、异常登录路径与异常现场物料，需按事故流程追溯’。”