脚本清理。你们必须给出非常明确的筛选条件，否则导出来你们也看不懂。”

周砚把自己带来的“查询条件清单”放到桌面：“我已经做了条件。优先看四类动作：删除重传、覆盖上传、权限变更、共享链接修改。并且只看关键目录与关键时间窗。”

许工翻了两页，抬眼：“你要查管理员账号？”

高岚替周砚接话：“内控立案，合法合规。日志只给内控，封存编号走内控流程。信息化只提供原始导出与字段解释。”

许工点头，但眉头还是皱着：“Break-glass账号属于最高权限，使用记录理论上也能查，但需要安全部配合。你们先从共享盘审计走，若出现‘异常清理’再上升到Break-glass。”

周砚没有争“现在就查Break-glass”，他知道组织接受需要梯度。他只补了一句关键限定：“请确保导出的日志包含操作者IP与设备标识字段。没有设备标识，链条会断。”

许工沉默两秒：“可以。”

11:02，高岚把封存编号写在白板上：“SP-AUD-202X-003（共享盘审计日志导出）。”随后又写了一行：“SP-PERM-202X-004（权限变更记录导出）。”

周砚看着编号，心里很清楚——从这一刻起，“谁能改版本”不再是猜测，而是可查证的事实问题。

11:35，审计日志第一批导出完成。

许工没有把原始文件发给周砚，只发给高岚，并抄送梁总。周砚拿到的是一份摘要表（经内控脱敏处理），但字段足够。

摘要表里，最扎眼的是一条记录：

“D-207:36：目录‘运营/证据包’文件‘竞品对比表_v1.1.pdf’发生‘Replace’操作（覆盖替换），操作者：it-admin02，来源IP：10.18.x.x，设备标识：WIN-OPS-07。”

周砚的眼神微微一沉。

覆盖替换，意味着不是普通上传新版本，而是用同名文件直接把内容换掉。企业盘的“Replace”操作通常只有在特定客户端或管理员工具下才会出现。普通员工的网页上传一般是“Upload/Versionadd”，不会是“Replace”。

更关键的是：操作者不