17，项目线的提醒把他拉回现实。运营同事发来今日上午的承接数据：新增有效咨询7条，预约入口点击继续上升，用户在群里开始问“到访当天能看到哪些点”“有没有接驳车”。周砚把“开放日接待SOP-v1.0”里新增一页“接驳与动线说明”，补了两句“可选路线”与“到访时段限流”，并把SOP升级为v1.1，再次归档、生成哈希、同步王珊。

他始终保持两条线并行：对甲方侧，结果必须滚动产生；对内部侧，证据链必须持续补齐。任何一条断档，都可能成为对方翻盘的入口。

11:06，信息安全部负责人回复了他的问询树邮件，措辞依旧克制，却第一次出现了“具体动作”：

“已收到问询字段清单。svc_rpa权限与凭据库调用记录将按事故流程提取。会话系统原始日志需经*****审批后可对外提供。工单INC导出请服务台协同。预计13:30前给出第一批可披露资料。”

周砚看完，心里没有轻松，只有判断：他们开始“给一点”，但仍想用“审批”拖时间、控范围。他不急。他只要第一批资料里出现“调用人账号”或“触发端IP”，就足够把链路从“服务账号”落回“具体人”。

12:02，午餐时间，阿远在项目群里突然发了一条看似“积极”的消息：

“下午绩效目标确认会后，我会牵头再做一次全员协同，确保开放日资源到位。大家保持节奏，不要被外部舆情带偏。”

语气像在“护航”，实际上是在给自己铺垫“我一直在牵头”的叙事。周砚没有在群里回应。他知道，真正的战场在14:00的会议室里，不在群里的一句漂亮话。

13:18，安全部第一批资料来了——不是完整原始日志，而是三份“可披露摘要”，但其中一份让周砚几乎不需要再等：

《svc_rpa凭据库调用记录（涉事时段）》里有一条：

18:45:05，CallerAccount=AR_ASSIST_WANG（域账号）；CallerIP=10.34.7.19；关联工单=INC-202X-0919-1736；调用凭据=svc_rpa。

周砚盯着“CallerAccount”那行字，胸口像被一块