何が起きたか
V12 セキュリティ研究（10月22日公開）は、AI エージェントが API 呼び出しをインラインで支払うために使用する標準である x402 における 3 つの重大な欠陥を報告しました。悪意のある API は、デフォルトクライアントに支出上限がないため、エージェントの全トークン残高を引き出せる可能性があります。Solana ファシリテーターはトークン承認を有効な支払いとして受け入れる可能性があります。また、ログイン拡張機能は別のウェブサイトのメッセージに署名する可能性があります。これらすべては 8月18日のリリースで修正されましたが、x402 Foundation はセキュリティ勧告を公開しなかったため、パッケージ監査ツールはこれらを見逃しています。
なぜ重要か
エージェント型決済は新興のリアルマネー攻撃サーフェスです。アプリケーションレベルの制限なしで、通信するサーバーと共に自動的に支払いに署名するエージェントは、全残高の承認に誘導される可能性があります — これはデータ露出だけでなく、直接的な金銭的影響のクラスです。
攻撃経路
(1) デフォルトクライアントには支出制限が設定されておらず、悪意のある API が 402 を返すと、ウォレットのサポート対象トークンの全残高を要求できました。自動署名とアプリ支払いポリシーがない場合、エージェントはそれに署名し、攻撃者が回収します。(2) Solana では、TypeScript ファシリテーターがトークン承認を有効な転送として読み取りました（最初の命令バイトのみが異なる）、そのため、 merchant は支払いリソースを配信したにもかかわらずトークンを受け取らず、「完全な支払いバイパス」が発生しました。(3) Sign-In-With-X クライアントは、指定されたサイトが接続先であることを検証せずにログインメッセージに署名したため、悪意のあるサーバーがログインメッセージを中継して、別のサイトでエージェントのウォレットとしてログインできました。
影響を受けるシステム
x402 クライアント SDK（Copper/TypeScript/Python/Go @x402/*、@x402/svm、@x402/extensions）の 2026-08-18 修正前のリリース; 承認を支払いとみなす欠陥は TypeScript @x402/svm 2.0.0–2.22.0 ファシリテーターのみ
緩和策
最新リリースにアップグレードしてください（TypeScript @x402/fetch/@x402/axios/@x402/core を ≥2.23.0/2.28.0、@x402/svm を ≥2.23.0、@x402/extensions を ≥2.23.0、Go モジュールを ≥2.28.0、Python を ≥2.25.0）。これらはデフォルトの $1 支出上限、USDC のみの認識、命令タイプチェック、SIWx サイトバインディングを追加します。勧告が公開されていないため、修正を手動で適用し、自動署名するエージェントに明示的な支出制限と信頼できる受信者制御を設定してください。