x402: kritikus hibák fenyegették az AI-agentek pénztárcáit

Mi az x402?

Az x402 nyílt szabvány, amellyel szoftverek, köztük AI-agentek, egy HTTP-kérésen belül fizethetnek egy API-hívásért. A szerver 402 Payment Required választ ad a fizetési opciókkal, a kliens aláír egy fizetést, majd újraküldi a kérést. A protokollt a Coinbase hozta létre, ma a Linux Foundation alá tartozó x402 Foundation tartja karban.

A három kritikus hiba

A V12 október 22-én közölte az eredményeit (V12). Összesen 25 hibát talált, a három kritikusról részletesen írt:

• Fizetés megkerülése Solanán: a TypeScript facilitator nem ellenőrizte az utasítás típusát, így egy token-jóváhagyást (approval) is elfogadott fizetésként. A kereskedő kiszolgálta a fizetős erőforrást, de tokent nem kapott.
• Idegen oldalra szóló aláírás: a Sign-In-With-X bővítmény kliense nem ellenőrizte, hogy a bejelentkezési üzenet a megkeresett oldalra szól-e. Egy rosszindulatú szerver így más oldalra szóló aláírást gyűjthetett. Ezzel átvehette a session-t.
• Nincs költési limit: az alapértelmezett kliens nem korlátozta az összeget. Automatikus aláírásnál egy rosszindulatú API az agent teljes egyenlegét elkérhette egy támogatott tokenből.

A V12 a kritikus és súlyos hibákat augusztus 12-én jelentette. A The Hacker News szerint az augusztus 18-i kiadások mindhárom kritikus hibát javították. Az alapítvány viszont nem adott ki security advisoryt, a changelogok sem jelölik biztonsági javításként. Ezért az npm audit és a PyPI sem figyelmeztet a régi verziókra. Támadásról eddig nem érkezett jelentés.

Mit kell tenni?

• TypeScript: @x402/fetch vagy @x402/axios legalább 2.23.0. SIWx használatakor @x402/extensions, Solana-fizetéseket ellenőrző facilitatornál @x402/svm, szintén legalább 2.23.0.
• A legfrissebb verziók október 23-án: 2.28.0 a TypeScript csomagoknál, v2.28.0 a Go modulnál, 2.25.0 a Python csomagnál. Ezek egy szeptemberi, külön fizetésmegkerülési hiba javítását is tartalmazzák.
• Frissítés után a kliens alapból 1 dollárra korlátozza a fizetéseket. Emellett csak ismert stablecoinokat enged. A spendControls: false ezt kikapcsolja, ezért kerülendő.
• Ha most nem lehet frissíteni, érdemes fizetési policyt regisztrálni, amely eldobja a megadott összeg feletti opciókat.

Miért fontos?

Az agentes fizetés egyik alapígérete, hogy az agent emberi jóváhagyás nélkül vásárolhat adatot vagy szolgáltatást. Ez csak akkor biztonságos, ha a kliens szigorú limitekkel dolgozik. Aki x402-vel automatizál, ellenőrizze a verziókat. Emellett állítson be explicit fizetésenkénti és teljes költségkeretet.