Ваш агент только что заплатил вникуда: 6 атак на платежи x402 — Ишвин Каур, SoFi
Original · Your Agent Just Paid for Nothing: 6 Attacks on x402 Payments - Ishween Kaur, SoFi
Key Takeaway
Безопасное внедрение автономных платежей через протокол X402 требует сквозной трассировки по уникальному идентификатору платежа и жесткой валидации цен перед подписанием транзакции агентом.
Highlights
Протокол X402 заполняет десятилетний пробел HTTP-кода состояния 402, стандартизируя машинные микроплатежи для автономных агентов.
Проведение экспериментов с агентными платежами выявило 20 различных векторов атак, включая манипуляции с ценами и повторные транзакции.
Изменение цены в заголовке оплаты на последней секунде позволяет незаметно для агента увеличить стоимость запроса в несколько раз.
Уникальные идентификаторы платежей в блокчейне предотвращают многократное списание средств при тайм-аутах и повторных попытках запросов.
Использование кэширования на публичных URL без проверки подлинности приводит к получению платных данных сторонними покупателями бесплатно.
Timeline
Введение в протокол X402 и машинные платежи
Развитие автономных систем приводит к необходимости совершения микроплатежей программным обеспечением. Блокчейн используется вместо традиционных кредитных карт, так как комиссии последних превышают стоимость самих ценных данных или запросов.
- Традиционные подписки не подходят для разовых мелких запросов, совершаемых автономными агентами.
- HTTP-код 402 исторически обозначал требование оплаты без указания механизма машинного расчета.
- Архитектура X402 включает покупателя, продавца, фасилитатор и блокчейн для проведения микроплатежей.
Манипуляции с ценами и дублирование платежей
Автономный агент уязвим к изменению параметров транзакции на стороне продавца. Использование общего хранилища номеров платежей и жесткая проверка полей защищают систему от двойных списаний и потерь средств.
- Атака через изменение цены позволяет продавцу подменить стоимость в заголовке оплаты в последний момент.
- Проверка полей кошелька, сети и заявленной стоимости предотвращает несанкционированное списание средств.
- Повторные запросы с новым номером платежа приводят к многократной оплате одной и той же услуги.
Бесплатные покупки и уязвимости кэширования
Разработчики должны выбирать между производительностью и защитой данных, решая, выдавать ли ответ сразу после валидации или ждать завершения расчетов. Размещение кэша за пейволлом исключает утечку платной информации.
- Отмена платежа на этапе расчетов из-за нехватки средств приводит к получению данных бесплатно при преждевременной выдаче.
- Публичное кэширование ответов продавца позволяет сторонним агентам скачивать защищенные данные без оплаты.
- Заголовок Cache-Control со значением no-store предотвращает сохранение конфиденциальных данных в публичном кэше.
Зловредное обнаружение и промпт-инъекции в ответах
Сложные сценарии работы агентов требуют комбинации белых списков и испытательных сроков для новых продавцов. Теневое тестирование и анализ ошибок на наборе данных позволяют выстроить надежную систему защиты перед продакшном.
- Использование каталогов без проверки владельца кошелька подвергает агента атакам поддельных продавцов-двойников.
- Текстовые ответы от продавцов могут содержать скрытые указания, провоцирующие агента на повторную покупку премиум-версии.
- Ограничение количества вызовов до одного за шаг эффективно блокирует нежелательные траты из-за промпт-инъекций.
Description
x402 lets AI agents pay for data and APIs with tiny on-chain payments over HTTP. Ishween Kaur explains how the protocol works, then walks through six of the 20 ways she broke it in a safe test environment: price changes in the payment header, paying twice, getting data for free, one payment unlocking many pages, lookalike sellers, and prompt injection that talks an agent into paying again. For each one, she shows the guard that stopped it and how to roll out agent payments safely, trace by trace. Chapters: 0:00 Intro 0:31 Paying for things you use once 1:33 HTTP 402 and the x402 protocol 2:09 How x402 works 3:24 What happens when agents can pay 4:05 Attack 1: Price manipulation 5:24 Attack 2: Paying twice 7:03 Attack 3: Free shopping 9:13 Attack 4: One payment, many pages 10:04 Attack 5: Lookalike sellers 11:43 Attack 6: Prompt injection 14:10 Rolling this out safely 16:23 Should we let agents pay? Ishween Kaur https://www.sofi.com Join us in SF for the second annual AIE CODE summit: https://aie.codes our last flagship summit of 2026. Applications live now!