有人能接触到安全部信息；第二，对方开始转移战场，从监控缺口转向门禁缺口——这意味着他们准备在门禁数据上做文章，比如“卡借用”“尾随进入”“刷卡不等于本人”。
门禁的确不完美，但门禁不是唯一证据。周砚心里已经有了下一步：用Wi-Fi接入轨迹补门禁、用IM在线状态补Wi-Fi、用资产变更审批链补USB插入事件的责任归属。他不会只抓一根线，他会让线编成网。
他按惯例拍照存档，把短信标记未读。然后打开共享盘，在“302追溯”目录里新建文档，标题写得非常直白：《门禁刷卡不等同于本人使用的风险说明及替代验证方案》。
文档第一段就写结论：门禁可作为到场证据，但需与网络接入、设备事件日志、会议室使用环境证据交叉验证，才能形成可核验链路。然后列出三条替代验证方案：
1）涉事时段会议室有线网端口MAC绑定记录（若有）；
2）涉事时段Wi-FiAP接入设备列表（脱敏只保留设备ID哈希）；
3）涉事时段相关人员IM在线状态与工位摄像头区域（不需要完整视频，只需“是否在办公区”证明）。
写完，他把文档保存，生成哈希，归档。每一步都像在给自己铺路，也像在把对方逼进死角：你越想用“缺口”推诿，我就越用“交叉证据”把缺口补齐。
23:02，周砚准备关机时，系统邮件弹出一封新通知——来自HR主管，主题依旧温柔，却透着一种“终于等到机会”的轻快：
《终评纪要定稿安排及签署时间确认》
正文写：“根据今日终评会议结论，纪要已完成定稿，将于明日11:00在HR会议室安排签署。请准时参加。”
周砚的指尖停在鼠标上，目光落在“定稿”两个字上，停了足足两秒。
定稿意味着什么？意味着有人觉得局势足够稳，稳到可以落纸。可今天开放日的数据刚出来，追溯的封存摘要也刚要落地，对方如果此刻急着“定稿”，就只有一种可能：他们要趁“追溯证据”还没进入纪要，先把结论锁死，再用“已签署纪要”压制后续补证。
这是他们最后的惯用手法：抢时间戳。
周砚没有立刻回邮件。他先把HR邮件截图归档，再打开日历把明天11:00标红，最后给梁总发了一条短消息：
“HR说明日11:00签终评纪要。请确认纪要已包含：
本章未完，请点击下一页继续阅读！