Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

SDK x402 bez limitu wydatków: złośliwe API mogło opróżnić saldo agenta AI

V12 znalazła 25 luk w SDK x402, w tym trzy krytyczne. Domyślny klient nie miał limitu wydatków. Poprawki weszły w wydaniach z 18 sierpnia.

Karta wpisu: SDK x402 bez limitu wydatków: złośliwe API mogło opróżnić saldo agenta AI

Domyślny klient w SDK x402 nie miał limitu wydatków, więc złośliwe API mogło skłonić agenta AI do podpisania płatności na całe saldo obsługiwanego tokena. Poprawki weszły w wydaniach z 18 sierpnia. Lukę opisała 22 października firma V12, która znalazła w kodzie x402 25 błędów, w tym trzy krytyczne. Drugi krytyczny błąd pozwalał usłudze sprawdzającej płatności (facilitator) uznać za ważną płatność transakcję Solana, która nie przenosiła tokenów. Trzeci pozwalał złośliwemu serwerowi skłonić agenta do podpisania wiadomości logowania do innej witryny. Ani V12, ani x402 Foundation nie zgłosiły ataków z ich użyciem.

Kogo dotyczy

Agentów AI, którzy automatycznie podpisują płatności przez SDK x402 w aplikacjach bez ustawionych limitów. Błąd z transakcją Solana występował tylko w SDK dla TypeScript. SDK utrzymuje x402 Foundation, projekt Linux Foundation, do którego należą Visa i Mastercard.

Co zrobić

Zaktualizować SDK x402 do wydań z 18 sierpnia lub nowszych. Fundacja nie opublikowała komunikatu bezpieczeństwa, a 23 października npm audit i PyPI nie zgłaszały podatności w ostatnich wersjach sprzed poprawek, więc te narzędzia nie ostrzegą przed starą wersją.

TAB. 2

Źródła

1
The Hacker News — Critical x402 SDK Flaw Could Let Malicious APIs Drain AI Agents’ Token Balancesthehackernews.com
TAB. 3

Powiązane

3
05.11.2026PodatnościSkaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Out
05.11.2026PodatnościOpenSSH łata krytyczne obejście hasła na Linuksie z musl libc bez PAM
05.11.2026PodatnościAplikacja bez kodu i uprawnień wprowadza telefon w pętlę restartów, poprawki nie będzie

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com