Lỗ hổng nghiêm trọng trong x402 SDK có thể khiến API độc hại rút toàn bộ số dư token của AI agent
Một lỗ hổng trong các x402 SDK dùng để giúp AI agent thanh toán các lệnh gọi API có thể cho phép một API độc hại yêu cầu và nhận toàn bộ số dư của agent bằng một loại token được hỗ trợ. Công ty bảo mật V12 cho biết nguyên nhân là client mặc định không đặt giới hạn chi tiêu; các bản phát hành ngày 18/8 đã bổ sung giới hạn này, giúp giảm rủi ro nếu ứng dụng được cập nhật và cấu hình cẩn thận.
Các nhà phát triển dùng x402 cho agent AI nên cập nhật SDK lên bản đã bổ sung giới hạn chi tiêu từ ngày 18/8 và kiểm tra cấu hình ký thanh toán tự động. Nếu không kiểm soát hạn mức, một API độc hại có thể yêu cầu agent chuyển toàn bộ số token đang có.
Đọc bài gốc