旦成立，攻击就会变得无力。

演练结束后，周砚要求所有岗位把“今日演练问题清单”再次更新，新增一条“计划任务引发账号保护的追溯进展不对外讨论，统一回复：内部合规核查中，不影响项目资料核验与开放日流程”。

他不让任何人把内部追溯说成八卦。八卦是最容易泄露口径的裂缝。

16:18，运营汇报：确定预约从21条涨到26条，其中18条已确认具体时段。候补转确定新增4条。用户最关心的问题仍然集中在两个：通勤浮动、月供计算。

周砚把这些写进D6动作清单：开放日当天答疑位重点只盯这两个问题，其他问题按Q&A库处理，避免被带节奏。

17:02，安全部发来补充结论说明。

邮件里终于出现了周砚最关键的一行：计划任务“UpdateCheck”的创建时间为18:47:26，创建账号为“wsupport”，来源IP为内部运维跳板机地址。任务最后修改时间为18:48:11，修改账号仍为“wsupport”。

运维支持账号。

这条证据让事情再一次升级：创建任务的不是普通员工账号，而是一个具备更高权限的支持账号。谁在18:47用运维账号创建了任务？谁有权限使用wsupport？是谁在监控缺口同一时间段做了PoE端口重置？这已经不是“一个助理手滑”能解释的了。

周砚把邮件归档、生成哈希、更新合规清单，然后第一时间发给梁总：“安全部已确认计划任务由wsupport创建/修改，时间与监控缺口高度重合。建议并行追查wsupport使用人及运维跳板机访问记录。”

梁总回了一个“收到”，随即在群里发通知：“王XX本周末不参与开放日任何工作安排，现场人员名单以行政最终清单为准，未经确认人员不得进入禁拍区与资料区。”

这条通知看似普通，实则是隔离。

隔离不是为了惩罚，而是为了把风险从开放日现场剥离。周砚看到这条通知，心里终于稳了一截：至少“试刀人”不会以王XX的身份大摇大摆站在资料桌旁了。

但他也清楚，对手既然敢动用wsupport，背后不止一个人。王XX只是前台，真正掌握运维账号的人，可能还藏在更深处