무슨 일이 있었나
V12 보안 연구(10월 22일 게시)는 AI 에이전트가 API 호출을 인라인으로 결제하는 데 사용하는 표준인 x402에서 세 가지 치명적 결함을 보고했습니다. 악성 API는 기본 클라이언트에 지출 상한이 없었기 때문에 에이전트의 전체 토큰 잔액을 탈취할 수 있었고; Solana 파실리테이터는 토큰 승인을 유효한 결제로 받아들일 수 있었으며; 로그인 확장은 다른 웹사이트에 대한 메시지에 서명할 수 있었습니다. 세 가지 모두 8월 18일 릴리스에서 수정되었지만, x402 재단은 보안 권고를 게시하지 않아 패키지 감사 도구가 이를 놓치고 있습니다.
왜 중요한가
에이전트 결제는 새로운 실물 돈 공격 표면입니다. 애플리케이션 수준 제한 없이 자동으로 결제에 서명하고 통신하는 서버가 있는 에이전트는 전체 잔액을 승인하도록 유도될 수 있습니다 — 단순한 데이터 노출이 아닌 직접적인 재정적 영향 클래스입니다.
공격 경로
(1) 기본 클라이언트는 지출 한도를 설정하지 않아 악성 API가 402를 반환하면 지원 토큰의 지갑 전체 잔액을 요청할 수 있습니다; 자동 서명 및 앱 결제 정책이 없으면 에이전트가 서명하고 공격자가 수집합니다. (2) Solana에서 TypeScript 파실리테이터는 토큰 승인을 유효한 전송으로 읽었습니다(첫 번째 명령 바이트만 다름), 따라서 상인은 유료 리소스를 제공하면서 토큰을 받지 못했습니다 — '완전한 결제 우회'. (3) Sign-In-With-X 클라이언트는 명명된 사이트가 실제로 연락한 사이트인지 확인하지 않고 로그인 메시지에 서명하여 악성 서버가 로그인 메시지를 중계하여 다른 사이트에서 에이전트의 지갑으로 로그인할 수 있게 했습니다.
영향받는 시스템
x402 클라이언트 SDK(Copper/TypeScript/Python/Go @x402/*, @x402/svm, @x402/extensions) 2026-08-18 수정 이전 릴리스; TypeScript @x402/svm 2.0.0-2.22.0 파실리테이터만 승인-대-결제 결함이 있었음
완화 방안
최신 릴리스로 업그레이드하십시오 (TypeScript @x402/fetch/@x402/axios/@x402/core를 ≥2.23.0/2.28.0, @x402/svm을 ≥2.23.0, @x402/extensions를 ≥2.23.0, Go 모듈 ≥2.28.0, Python ≥2.25.0) — 기본 $1 지출 상한, USDC 전용 인식, 명령 유형 검사 및 SIWx 사이트 바인딩을 추가합니다. 권고가 게시되지 않았으므로 수동으로 수정을 적용하고 자동 결제에 서명하는 에이전트에 명시적 지출 한도와 신뢰된 수신자 제어를 설정하십시오.