他问题按Q&A库处理，避免被带节奏。
17:02，安全部发来补充结论说明。
邮件里终于出现了周砚最关键的一行：计划任务“UpdateCheck”的创建时间为18:47:26，创建账号为“wsupport”，来源IP为内部运维跳板机地址。任务最后修改时间为18:48:11，修改账号仍为“wsupport”。
运维支持账号。
这条证据让事情再一次升级：创建任务的不是普通员工账号，而是一个具备更高权限的支持账号。谁在18:47用运维账号创建了任务？谁有权限使用wsupport？是谁在监控缺口同一时间段做了PoE端口重置？这已经不是“一个助理手滑”能解释的了。
周砚把邮件归档、生成哈希、更新合规清单，然后第一时间发给梁总：“安全部已确认计划任务由wsupport创建/修改，时间与监控缺口高度重合。建议并行追查wsupport使用人及运维跳板机访问记录。”
梁总回了一个“收到”，随即在群里发通知：“王XX本周末不参与开放日任何工作安排，现场人员名单以行政最终清单为准，未经确认人员不得进入禁拍区与资料区。”
这条通知看似普通，实则是隔离。
隔离不是为了惩罚，而是为了把风险从开放日现场剥离。周砚看到这条通知，心里终于稳了一截：至少“试刀人”不会以王XX的身份大摇大摆站在资料桌旁了。
但他也清楚，对手既然敢动用wsupport，背后不止一个人。王XX只是前台，真正掌握运维账号的人，可能还藏在更深处。
18:30，周砚按计划给王珊同步了最新的“确定预约名单（脱敏版）+时间段分布表”，并附上“开放日现场核验指南一页纸（v1.0）”。王珊回复：“收到。领导说你们这套核验机制很稳，现场别出岔子，岔子我们承受不起。”
周砚回：“我们按流程走，所有动作可追溯。现场异常有预案。”
19:40，周砚还在办公室，准备把D6动作清单导出归档时，手机再次震动——陌生号码，仍然没有文字，只有一段短视频。
视频只有三秒，画面抖得厉害，却清晰拍到了一个东西：开放日现场入口的禁拍提示牌。镜头停在提示牌上，随后画面快速掠过资料区的桌面角落，最后停在一张白纸上——白纸上写着一个时间：“周六10:
本章未完，请点击下一页继续阅读！