21:36，周砚到家时，手指还保持着白天那种“随时能封存”的紧绷感。他把外套挂起来，先去洗了手。水流冲过指缝，指尖的麻才慢慢退下去。洗完手他没有立刻吃饭，而是打开电脑，把今天所有资料做成一个“可交付包”。
他给这个包起了一个名字，简单、冷硬：
《开放日异常干预证据包（OD-EVIDENCE）V1.0》
里面分三层：
第一层：证据索引表（Excel格式与PDF格式各一份）
字段包括：编号、事件类型、时间、地点、发现人、见证人、证据载体、存放路径、签收人、关联链路。
第二层：封存证据（照片、视频、记录）
OD-GF-001礼品台异常引导卡片与短链跳转截图；
OD-NW-001伪装接入设备封存照片、MAC/SSID记录、发现点位照片；
OD-OP-001未经授权人员现场发布停止指令事件，固定机位视频片段、物业记录、身份核实记录。
第三层：链路关联（流程与权限）
权限基线快照、通用邮箱授权清理记录、服务台紧急账号池强制审批配置记录、现场手册封版哈希摘要、固定机位点位图与开机日志。
周砚把每个文件名都统一成“编号+关键词+时间”，并在索引表里做了超链接。这样复盘会上任何人想“跳过细节”都很难，因为只要点一下，就能跳到对应证据。
22:08，内控负责人发来消息：“明天09:30复盘会，参会扩大：法务、信息安全、PMO、市场部、项目负责人。你准备好完整证据包，尽量用索引呈现，不要现场翻找。”
周砚回：“已整理OD-EVIDENCEV1.0，明早带纸质索引与U盘两套。”
他把证据包复制到一个加密U盘里，又准备了第二个只读U盘，防止“你给的文件打不开”这种低级口径战。最后，他把纸质索引表打印三份：一份给梁总，一份给内控，一份备用。纸张边缘都裁得很整齐，像一个人的边界一样清晰。
23:02，匿名IM又弹了一条，仍旧黑点头像：
“你准备得越充分，越容易被定义为‘预谋’。”
周砚看完，连“截图、导出、编号”都没做，他只是把手机扣在桌面上，过了三秒才再拿起来，把信息归档，编号写成：
OD-IM-003（匿名口径施压-预谋标签）
他知道对手会怎么说：
“他早就想搞大，所以才准备这么多。”
“他喜欢控制，所以才装这么多摄像头。”
“他把问题想得太阴谋，所以自己制造紧张。”
对手要的不是否定证据，而是污染动机。只要动机被污染，证据就会被解释成“选择性呈现”。
周砚盯着屏幕，轻轻吐出一口气。他写下明天复盘会的第一句话，写在纸上，像写一道开场的门槛：
“我不讨论动机，我只提供可复核事实与责任链。”
——
09:18，公司大会议室。
这是一个标准的“定性会场”：长桌、投影、两侧插排、每个座位前都放着水。空气里有一种稀薄的冷，像所有人都在刻意压住情绪，以便把事情做成“可控的组织语言”。
梁总坐主位，内控负责人坐他左侧，法务坐右侧，信息安全负责人在法务旁边。PMO、市场部负责人、阿远、郭工等人依次坐下。周砚坐在靠后的位置，没有抢主角位，却把自己的资料包放在桌面上最易取的位置。
会议开始前，周砚看到阿远正在和市场部负责人低声交谈，表情像在做某种提前对齐。PMO的人翻着笔记本，手指不停敲桌面，像在焦虑“这次会会不会升级成事故认定”。法务的目光很平，像一把随时能落下的尺子。
09:30，梁总开场：“今天复盘开放日异常事件。原则三条：第一，只谈事实；第二，只谈可复核证据；第三，形成责任链与整改动作。任何想把事情变成‘协作风格争议’的叙事，今天都不接受。”
这句话一出，PMO的肩膀明显僵了一下。阿远的眼神也动了动。
梁总看向内控负责人：“你先把事件概况说清楚。”
内控负责人翻开一页打印件，语气像读事故简报：“开放日现场共发生三类异常：
1）物料类：礼品台出现异常引导卡片与短链二维码，已封存编号OD-GF-001；
2）网络类：现场发现伪装接入设备，疑似诱导接入或干扰网络，已封存编号OD-NW-001；
3）人员类：未经授权人员在核验台前发布‘停止扫码登记’指令并制造舆情场景，已形成事件记录编号OD-OP-001。
三类异常均发生在关键节点区域，并具备‘刻意引导舆情’特征。现已将封存证据签收移交内控，法务与信息安全介入。”
梁总点头：“周砚，你现场负责风险处置，你把证据包按索引过一遍，用最短时间让所有人看到证据链。”
周砚起身，打开投影，把索引表投到屏幕上。他没有播放长视频，也没有讲故事，只讲结构：“我按照三条链路呈现：事件链、证据链、责任链。”
他用激光笔点第一行：“事件链先看OD-GF-001。09:40礼品台桌角出现引导卡片，卡片内容为‘领取礼品请扫码登记’，并附短链二维码。我们已现场封存，引导口径同步调整为‘礼品领取无需扫码’，并执行桌面清空与双人巡检。证据包括：封存袋照片、短链跳转截图、固定机位录像片段、物业见证签名。”
他点击超链接，投影上出现短链页面截图：页面像官方登记页，但多出“同意领取礼品”字样。域名明显不是白名单。
信息安全负责人抬眼：“短链域名能追溯吗？”
周砚回答：“可追溯到短链服务提供商与创建账户。我们现场只做封存与截图，后续建议法务向短链服务商发取证函，调取创建者IP与时间。”
法务点点头：“会做。短链服务商在国内还是海外？”
周砚如实：“目前只看到域名与跳转路径，服务商归属需信息安全进一步解析。”
他继续：“第二条，OD-NW-001。10:17核验台出现大量页面加载失败，访客网异常接入数激增。10:23侧门点位发现可疑便携接入设备，SSID命名与访客网极相似，已封存，记录MAC与SSID，并保留现场照片。处置上执行降级策略：暂停扫码登记，改纸质意向卡，参观不受影响。”
投影切换到伪装设备封存照片与MAC记录。
郭工补充一句：“当时我们后台确实看到异常接入数激增，设备封存后波动快速回落。我们初步判断该设备可能用于钓鱼式AP或干扰。”
信息安全负责人问：“你们当时为什么不直接断访客网？”