网络安全公司 Sophos 披露，9 月，一名员工的 Mac 因打开 GitHub 上的「编程作业」遭到入侵，BeaverTail 加载器和 InvisibleFerret 后门在两分钟内开始运行。事件暴露了终端防护代理失效、设备合规检查与防护监控未能衔接的问题。Sophos 表示，后续借助 AI agent 处理数据关联中的复杂情况，排查仍在登录、却已停止上报防护状态的设备。
据 Sophos 自述，公司通过情报共享渠道收到行业伙伴提醒，才得知员工的 Mac 已被入侵。此前一天，该员工收到诱饵，在 VS Code 中打开了一份托管于 GitHub 的「编程作业」。工作区设置中隐藏的命令在终端打开时自动执行，随后启动恶意程序。
Sophos 调查发现，这台 Mac 的终端防护代理已经损坏。SophosLabs 确认，最先落到设备上的脚本此前已能被检测为 Troj/Dloadr-EJE；公司称，正常工作的代理本可阻断这条攻击链。
Sophos 表示，公司原本已有设备合规检查和终端覆盖监控，但本次事件显示，两者之间仍存在缺口。将身份登录数据与终端遥测关联后，公司发现，一些设备虽然通过了身份和设备管理合规检查，却没有向企业终端控制台报告状态。
这项数据核对工作此前曾被大量边缘情况阻碍，其中包括 Sophos 内部测试终端产品测试版的特殊方式。公司称，这次借助 AI agent，更高效地处理了这些复杂情况，并据此收紧设备管理合规检查。文中没有给出 AI 带来多少效率提升的量化数据。
Sophos 同时引用币安披露的另一起事件：一名工程师经正规求职平台接触招聘诱饵，被要求在工作电脑下载编程作业。Sophos 文中称，该案涉及 63 亿美元盗窃，FBI 将攻击归因于朝鲜。
据 Sophos 转述币安的说法，攻击者将工程师 Homebrew 安装中的合法 pyenv 组件替换为恶意版本，币安的终端工具未能检出。Sophos 强调，两起事件不一定使用了相同恶意软件，多个朝鲜威胁组织都采用以求职为主题的社会工程手法。
Sophos CTU 研究人员称，针对本公司的 VS Code 手法与运行 Contagious Interview 活动的 NICKEL ALLEY 相符。据 Sophos 转述日本警察厅、FBI 等机构 9 月发布的联合通告，2025 年 12 月至 2026 年 7 月，该活动的攻击者入侵了 100 多个国家的至少 3 万台设备，并从 7000 多个加密货币钱包获取资金或凭据。这些数字属于该活动的整体统计，并非 Sophos 本次事件的受影响规模。
