TL;DR · 一句话结论

一次失败的（民族国家？）攻击的剖析。这是一条「创业融资（Startups & Funding）」类 AI 信号，小雯机会评分 9.5/10，风险评分 3.6/10，数据源为 AI HOT / Hacker News 热门（buzzing.cc 中文翻译）。

• 这是什么：作者收到伪装成新加坡VC Lua Ventures的虚假面试邮件，要求完成一个TypeScript仓库的"测试"。作者将仓库交给Claude扫描，在`typescript+5.9.2.patch`中发现base64混淆载荷，该载荷在`patch-package`安装时触发，向`~/.cache-`等目录写入`payload.js`和`mutex.js`，构成后门（命名PinpinRAT）。攻击者使用虚构身份和空洞LinkedIn资料，目标是作者在crates.io上的Rust包。相关信息已报告加拿大CCCS等机构。
• 为什么值得关注：资本流向说明需求正在被验证，适合反推企业愿意为什么 AI 能力付费。这条值得关注：一次失败的（民族国家？）攻击的剖析
• 归类标签：Startups & Funding、Claude
• 首次收录：2026-06-28，累计出现 2 次