第三，他把门禁记录里的关键人——“王XX18:46进18:49出”——与设备接入时间“18:46”在自己脑中快速对齐，形成一条极窄的时间窗：18:46外设接入→18:47浏览器登录页→18:48输入账号→19:01失败登录触发。这个窗里，唯一被门禁明确标记且卡在起点的人，就是王XX。

逻辑闭环开始出现锐角。

视野边缘，蓝色面板亮起，字色比以往更冷：

【证据推进到“可指向”阶段：外设不在白名单却出现在关键终端】【风险：对手将尝试“消毒”——删除终端记录、甩锅给他人、或提前自首式解释】【策略：等二次导出，先锁时间窗，再锁登录账号，再锁设备归属人】

12:02，阿远再次私信周砚，这次语气明显不耐烦：“你别搞那些工单了，事情闹大对你没好处。302的追溯梁总会处理，你现在只要把开放日做好就行。别把自己卷进安全部的泥潭。”

周砚看着屏幕，脑中只有一个判断：对方知道“序列号”已经被推进了。否则不会忽然强调“别搞工单”。

他回得依旧短：“追溯不影响开放日，我两条线都在推进。若你希望我停止追溯，请邮件写明停止原因与责任归属，抄送梁总。”

对方没有再回。

沉默就是一种失败。对手越沉默，周砚越确定自己踩中了真实的痛点。

12:30，财务BP发来提醒：下午要给梁总一版“到访预测与现场成本估算”。周砚把预约时间段分布表同步给她，同时附上“控量策略”与“候补机制”说明：每个时段上限、候补规则、预计到访转化。所有数字带口径说明，避免财务把“意向”算成“确定”。

项目这条线仍旧稳。

13:22，IT补充导出如期而至。邮件标题没变，但附件多了一个《终端管理导出-USB接入明细（脱敏版）》。

周砚打开表格的那一瞬间，呼吸几乎无声。

表格里清晰列出：

-设备序列号：XXXX-XXXX-XXXX（完整）

-厂商：SanDisk

-设备名：USBMassStorageDevice

-接入终端：MEET-302-PC

-接入时间：18:46:58

-当前登录用户：guest_meetroom