AIエージェントが無駄な支払いをさせられている：x402決済に対する6つの攻撃 - Ishween Kaur（SoFi）

하이라이트

• x402プロトコルはHTTPのステータスコード402を拡張し、マシン同士が自動的にマイクロペイメントを行える仕組みを提供する。

• 買い手がリスト価格とは異なる金額を請求される価格操作や、二重支払いといった問題が発生する。

• 決済フェーズが完了する前に買い手がデータを取得してしまうフリーショッピングのリスクが存在する。

• 悪意のあるそっくりな売り手から情報を取得してしまう悪意あるディスカバリーへの対策として許可リストや猶予リストが有効である。

• プロンプトインジェクションによってエージェントが意図せず有料のプレミアム要約へ誘導され、予期せぬ支払いが発生する。

타임라인

1. 00:00 - 02:11

   エージェント決済とx402プロトコルの概要

   インターネット上のサービス利用におけるサブスクリプションの手間を例に挙げ、AIエージェントが動的にマイクロペイメントを行う必要性を説明している。クレジットカートの手数料では小額決済が成り立たないため、オンチェーンでの支払いがスケールする理由となっている。

   • エージェントが自律的にAPIなどのデータに対して小額の支払いを行う仕組みが求められている。
   • HTTPのステータスコード402のプレースホルダーとしての限界をx402プロトコルが補う。
   • 買い手、売り手、ファシリテーター、チェーンの4つのエンティティによって取引が構成される。
2. 02:11 - 07:05

   価格操作および二重支払いに関する攻撃

   買い手が売り手を見つけた後の通信において、価格フィールドのコードチェックを行わない場合に予期せぬ高額な支払いを実行してしまう実験結果が示されている。また、一意であるべき支払い番号の管理不足が引き起こすリスクについて解説している。

   • ヘッダー部分で価格が変更されることで、リスト価格よりも高い金額を支払わされる価格操作が発生する。
   • 同じ支払い番号を複数回送ることで、決済エラーを利用した重複処理の不整合が起きる。
   • リトライ時に異なる支払い番号を使用すると複数回課金される原因になる。
3. 07:05 - 10:05

   フリーショッピングと複数ページへの不正送信

   決済が完了する前にデータを配信するパフォーマンス重視の設計におけるトレードオフや、キャッシュコントロールの設定ミスによるデータ流出の対策として共有ストレージの活用が提案されている。

   • 資金不足などで支払いがロールバックされる前にデータを取得するフリーショッピングが起きる。
   • 公開されているキャッシュURLや有料壁の裏にないエンドポイントを叩いて無料でデータを取得される。
   • 1回の支払いを互いに通信しない複数のページに向けて同時に発信する攻撃が存在する。
4. 10:05 - 14:30

   悪意あるディスカバリーとプロンプトインジェクション

   新しい売り手を探索するワークフローにおいて、許可リストやブロックリスト、猶予リストを用いた管理の重要性が述べられている。また、Llama 3.2を用いた実験を通じて、プロンプトインジェクションによる予期せぬ二重課金をブロックする手法が示されている。

   • 本物に似せた偽の売り手やドメインを利用してエージェントから情報を詐取する攻撃がある。
   • 売り手からの応答に含まれるテキストによる誘導で、エージェントがプレミアム要約へ再支払いを行う。
   • 特定のターンにおける呼び出し回数を制限することでプロンプトインジェクションによる被害を防ぐことができる。
5. 14:30 - 16:35

   本番環境への展開と実践的なハンドブック

   安全なエージェント決済を実装するための具体的なステップとして、データセットを用いたエラー分析やガードの調整方法を解説している。最後に、自身で検証するためのハンドブックの存在に触れている。

   • 1つの支払いIDを用いたシーケンス全体のログ記録がトラブルシューティングに役立つ。
   • シャドウフェーズでのエラー分析を経てガードやアラートを追加するエンフォースメント段階へ移行する。
   • トレースごとの実行を通じてエージェントシステムの挙動を正確に把握する必要がある。