周鹏把设备追踪结果发到会议室时，屏幕右下角的时间刚跳过零点。
共享文件夹里，INC-226_事实时间线_v0.3已经改过三轮。梁舒的工作链路、授权记录、门禁离开记录都被补进了「账号使用人与账号归属边界材料」里。前一晚茶水间那些话还没散干净，「告状新人」「太像林听晚」的字眼碎玻璃般扎在空气里，可林听晚没有让任何人再回到情绪上。
她只看证据。
「说设备。」林听晚把笔放在资料包旁边，声音不高。
周鹏点开资产追踪表。表格第一列是设备指纹，第二列是资产编号，第三列是领用记录，后面依次是接入时间、AP位置、登录账号、操作动作。
被标红的那一行终于补全了大半。
设备指纹：7F3A-9C21-44D0。
设备名历史记录：TEMP-OPS-07、DESKTOP-LS-01。
资产编号：YY-TMP-018。
最近一次领用：运营支持临时机，二月活动后退库。
退库单号：AS-OUTIN-0218-039。
退库时间：2月18日18:42。
登记状态：已退库，待重置。
陈砚秋盯着「待重置」三个字，脸色一下沉了。
「退库设备为什么还能接公司内网？」他问。
周鹏的鼠标停在那一格上：「这是问题之一。设备在资产系统里显示退库，但MDM管理后台没有清除证书，Guest网段也没有把它拉黑。只要机器还在公司附近，仍能连YUE-Office-Guest。」
「退库不是应该格式化吗？」
「应该。」周鹏说，「退库单上有『待技术重置』。但没有重置完成记录，也没有销毁受信证书记录。」
会议室里安静了一瞬。
这和之前发现的漏洞正好接上了。旧受信设备继承、临时权限包配置错误、Guest网络访问边界模糊，现在又多了一台退库后没有真正退干净的设备。每一处都如小缝，单独看不致命，连在一起就足够把一个新人推到台前。
林听晚没有评价，只问：「这台设备现在在哪儿？」
周鹏切到行政资产库：「资产库显示在三楼仓储间B柜，B-3层。但今天下午行政盘点时没在柜里找到。仓储间出入记录还没核完。」
梁舒坐在桌边，背挺得很直。她原本在整理自己的外出送样记录，听到这里，指尖在键盘上停了半秒。
林听晚看了她一眼：「梁舒，把你昨天的外出时间线读一遍。」
梁舒把纸页翻到第二张。她嗓子有点哑，但语速比前一晚稳。
「昨天十三点四十，我从四楼工位领取陆霜共创包装补充样，样品编号YC-SAMPLE-0428-06，出库单号SP-228-114。十四点零二分，我在一楼门禁刷卡离开。十四点二十七分到达城西视觉工作室，给摄影师送样，工作室前台签收时间十四点三十一分。十五点零八分，我在工作室群里发了样品摆放确认图。十五点四十二分离开工作室，十六点十二分回到公司一楼，门禁刷卡进门。十六点二十七分回四楼小会议室。」
她停了一下，又继续：「异常权限申请时间是十九点二十二分，凌晨导出时间是二点十三分。这两段我都没有接触过设备YY-TMP-018。十九点我在四楼小会议室整理口头承诺清单，凌晨二点我已经离开公司。」
「证据来源。」林听晚提醒。
梁舒低头补充：「样品出库单SP-228-114、工作室签收照片、企业微信定位、门禁记录AC-0428-1402和AC-0428-1612、项目系统编辑记录、四楼会议室摄像头公共区截图。」
她没有说「请相信我」。
这比任何辩解都更有分量。
周鹏把另一张时间线拖到屏幕中央：「我这里补了设备YY-TMP-018的接入轨迹。昨天十三点五十六分，它第一次出现在公司内网，接入点是一楼访客区AP-1F-Guest-03，上线三分二十秒，没有登录业务系统。十四点零六分，断开。十四点十二分，又在三楼会议区AP-3F-East-02上线到十四点二十九分。十五点五十八分到十六点零五分，在三楼仓储间附近AP-3F-Store-01短暂上线。十九点二十一分三十秒，连接三楼会议区AP，十九点二十二分发起临时权限申请。凌晨二点十一分，连接四楼东区无线AP，二点十三分导出敏感表，二点十八分下线。」
屏幕上，两条时间线一上一下。
梁舒的外出轨迹清清楚楚：十四点零二分离开，十六点十二分回来。
设备YY-TMP-018的轨迹也清清楚楚：十四点十二分到十四点二十九分在三楼会议区上线，十五点五十八分在三楼仓储间附近上线。
本小章还未完，请点击下一页继续阅读后面精彩内容！表面证据仍然刺眼——账号是梁舒的，权限申请也是梁舒账号发起的，凌晨导出还是梁舒账号。
可一旦把设备、门禁和场景放在同一张表里，那条最容易被传播的结论就断了。
十四点十二分，梁舒已经出了公司，正在去城西工作室的路上；设备却在三楼会议区。
十五点五十八分，梁舒还没刷卡回公司；设备在三楼仓储间附近。
林听晚把两条时间线之间的空白放大：「门禁记录。」
行政许萌把刚导出的PDF接到屏幕上。她声音绷得很紧：「昨天十三点四十五到十六点二十，三楼仓储间门禁共六条。十三点五十二分，行政主管刷卡进；十四点零九分，运营支持组老张刷卡进；十四点三十六分，老张刷卡出；十五点五十一分，仓储助理刷卡进；十六点零六分仓储助理刷卡出；十六点十八分行政主管刷卡进。梁舒没有三楼仓储间门禁记录。」
陈砚秋抬眼：「老张？」
许萌点头：「就是昨晚给林总监发短信的老张。他说过去有人借新人账号走流程。」
梁舒的脸色变了。她没有说话，只把手指从键盘上收回来，放在膝盖上。
林听晚问：「老张有没有权限接触退库设备？」
「按现在的流程没有。」许萌说，「但他以前负责活动临时设备领取和归还。YY-TMP-018最早的领用记录就是他经手的，不过二月退库单上签收人是行政主管，技术重置人空着。」
周鹏补了一句：「老张的账号昨天没有登录数据后台，也没有权限申请记录。但他确实在设备出现的时间段进出过三楼仓储间。」
「先不要把结论落到人。」林听晚立刻说，「我们现在锁的是设备使用路径，不是抓一个新的替罪羊。」
会议桌旁几个人同时停住。
这句话把某种熟悉的冲动按了回去。刚才证据从梁舒身上移开的一刻，大家本能地想去找下一个名字。林听晚不允许。
她把白板重新擦出一块，写下三列。
第一列：账号时间线。
19:22:00，liangshu账号发起YY-PERM-225-078，设备7F3A，三楼会议区AP。
02:11:32，liangshu账号登录成功，设备7F3A，四楼东区AP。
02:13:47，导出user_contact_mapping_sensitive。
02:14:05，下载完成。
02:18:09，退出。
第二列：人员时间线。
14:02，梁舒一楼刷卡外出送样。
14:31，城西视觉工作室签收样品。
15:08，工作室群内发样品确认图。
16:12，梁舒一楼刷卡回公司。
19:18—19:47，梁舒四楼会议室编辑口头承诺清单。
21:26，梁舒一楼刷卡离开。
第三列：设备与场景。
13:56，一楼访客区AP短接。
14:12—14:29，三楼会议区AP在线。
15:58—16:05，三楼仓储间AP在线。
19:21—19:24，三楼会议区AP在线并申请权限。
02:11—02:18，四楼东区AP在线并导出。
设备资产编号YY-TMP-018，退库单AS-OUTIN-0218-039，状态「已退库，待重置」。
三列写完，会议室里没人再能只盯着账号那一列。
林听晚转身：「如果只看第一列，结论会是什么？」
没人回答。
她替他们说了：「梁舒账号申请权限，梁舒账号导出敏感表。最快的处理方式，是暂停梁舒、发事故通报、把融资资料写成个别员工账号异常。」
梁舒的睫毛颤了一下。
「但如果看三列，」林听晚用笔点在第三列，「问题并非梁舒为什么半夜导表，而是一台二月就退库的临时设备，为什么四月还能带着旧证书进公司网络；为什么能继承受信状态；为什么能用错误配置的临时权限包绕过人工审批；为什么Guest网段能碰到数据后台；为什么退库单上『待重置』两个字没人追到完成。」
她每问一句，陈砚秋的脸就更沉一点。
这不是某一个新人能制造出来的漏洞。这是野月过去靠便利和默契省下来的流程，现在反过来变成了刀口。
周鹏低声说：「我马上封设备证书，拉黑MAC地址。」
「不只是封证书。」林听晚说，「现在开始，设备YY-TMP-018作为关键证物封存。行政去三楼仓储间B柜、会议区、四楼东区逐点排查，找到实物后不准开机，不准接电，不准登录，拍照记录外观、位置、时间，由行政、技术、审计三方签封。封存单编号就用INC-229-EQP-001。」
许萌马上记：「封存单INC-229-EQP-001。」
本小章还未完，请点击下一页继续阅读后面精彩内容！「周鹏，保全三类记录。」林听晚继续，「第一，设备全量接入日志，包括AP、交换机、DHCP分配和证书校验记录；第二，账号登录日志，包括AUTH-GW-0429-0-8891前后所有会话、YY-PERM-225-078申请链路、二次验证未触发原因；第三，数据后台导出记录，包括下载文件名、哈希、访问路径和是否有外发行为。」
周鹏点头：「我让安全同事做只读镜像。」
「镜像前先拍过程，不要覆盖原始状态。」林听晚说，「还有，所有TEMP-OPS和YY-TMP开头设备立即断网，资产库导出历史领用、退库、重置、证书注销四张表。找不到重置记录的，全部按高风险设备处理。」
陈砚秋拿起手机：「我签。」
「你还要签调取范围。」林听晚看向他，「门禁记录、访客码、电梯公共区、三楼仓储间、三楼会议区、四楼东区网络覆盖图，都要调。范围写设备路径和时间段，不写『调查梁舒』。」
陈砚秋的手停了一下。
这一停很轻，他才真正意识到，一个措辞就能决定一个人会不会继续被钉在怀疑里。
「写设备路径。」他说，「我来发。」
梁舒低着头，眼圈有点红，但她仍然没有哭。她把自己的时间线文件名从「梁舒外出送样证明」改成了「INC-229-PER-002_账号归属人与设备路径冲突核验」。
林听晚看见文件名变化，才终于放缓一点声音：「梁舒，你的高风险权限继续冻结，基础办公权限保留。不是处罚，是保护证据，也是保护你。你接下来只配合提供事实，不接受任何私下询问。有人问，你让他看调查口径。」
梁舒抬起头，轻声说：「我知道。」
她顿了顿，又说：「林总监，我刚才其实很怕。怕设备查不出来，怕大家最后还是说，账号是我的。」
会议室里没人接话。
林听晚把那份三列时间线保存成PDF，文件名最后落了一个版本号v1.0。
「所以以后不能让任何人的清白只靠别人愿意多查一步。」她说，「流程要逼着大家多查这一步。」
周鹏那边有了新消息。他抬头：「行政找到了。三楼仓储间B柜后面的纸箱里，有一台贴着YY-TMP-018标签的旧笔记本，外壳标签被撕了一半，电源没在箱子里。许萌已经让人停手拍照，等我们过去封存。」
陈砚秋站起身，又停住。
屏幕上的时间线还亮着，梁舒的名字在第二列里不再像罪证，而被证据一点点接回了边界。她坐在灯下，工牌挂绳压在灰色毛衣上，明明没有做错什么，却从昨晚到现在一直在用最克制的方式证明自己没有做错。
陈砚秋看了她很久。
那种沉默里，有愧疚，也有一种迟来的照见。
林听晚合上电脑：「去封设备。」
众人陆续起身。梁舒最后一个站起来，把那张外出送样时间线夹进资料夹里。
陈砚秋落后半步，声音低得几乎只有林听晚能听见。
「她像当年的我。」