原文標題：What happens when a fake coding test reaches a security company?

Sophos於11月4日公開一起假求職程式測驗事件：員工在Mac上開啟GitHub提供的作業專案後，VS Code工作區設定中的隱藏指令在終端開啟時執行，兩分鐘內啟動BeaverTail載入器與InvisibleFerret後門。公司在9月接獲產業夥伴情資通知才得知入侵，調查發現該裝置的端點代理程式已故障。Sophos表示，其防護原本能辨識相關初始腳本，但失效的代理程式未能阻斷攻擊鏈。

公司後續將身分登入資料與端點遙測交叉比對，辨識仍持續登入、卻未向企業端點主控台回報的裝置，補上原有合規檢查與覆蓋率監控之間的落差。官方也提醒，開發者設備通常能接觸原始碼、建置及其他高權限系統，假面試會利用看似正常的工具和招聘流程取得這些入口。Sophos因此強調裝置防護有效性、最小權限及企業與產品環境隔離，也要求評估內部AI工具能接觸的資料與憑證範圍。本稿聚焦公司自己公開的事件及改善措施，不將同文引用的其他企業事故金額或歸因，當作已在本次逐項獨立核實的事實。

發生了什麼事

Sophos員工遭假求職測驗誘騙，惡意VS Code工作區觸發執行；公司發現端點代理程式故障，之後以登入與遙測比對修補裝置覆蓋缺口。

為什麼重要

安全工具存在不代表持續有效。仍能登入的裝置若沒有回報端點狀態，就可能繞過管理者原本以為存在的防護，讓正常開發工具變成入口。

影響哪些人

主要影響開發者、招募團隊與企業資安管理者，尤其是允許工作設備處理外部程式作業，或擁有原始碼與建置系統權限的組織。

已確認與未確認

已確認Sophos自述事件及代理程式失效。官方表示有效代理程式原可阻斷初始負載，但這是其調查結論；其他企業事故未在本稿另行核實。