Lỗ hổng x402 SDK có thể khiến API độc rút sạch số dư token của AI agent
Một client mặc định trong x402 SDK không có hạn mức chi tiêu có thể cho phép API độc hại nhận tới toàn bộ số dư của token được hỗ trợ từ AI agent. Bản phát hành ngày 18/8 đã bổ sung giới hạn, nhưng tổ chức vẫn cần cập nhật và cấu hình cẩn thận.
Một API độc hại không cần chiếm quyền điều khiển AI agent để gây thiệt hại. Nếu agent có thể tự thanh toán và client không áp hạn mức, một yêu cầu phí bất thường có thể khiến agent chi tới toàn bộ số dư của token được hỗ trợ.
Theo công ty bảo mật V12, vấn đề nằm ở một cấu hình client mặc định trong x402 SDK không có giới hạn chi tiêu. Lỗ hổng này có thể cho phép một API độc hại yêu cầu và nhận toàn bộ số dư token mà agent đang nắm giữ.
Các bản phát hành vào ngày 18/8 đã bổ sung cơ chế giới hạn để giảm rủi ro. Tuy nhiên, lợi ích chỉ có được khi tổ chức cập nhật SDK và cấu hình agent một cách thận trọng.
Rủi ro không chỉ là một API call
x402 SDK được dùng trong bối cảnh AI agent thanh toán cho các lệnh gọi API. Điều này tạo ra một khác biệt quan trọng: agent không chỉ gửi yêu cầu tới dịch vụ bên ngoài mà còn có thể chuyển giá trị trong luồng tự động.
Theo thông tin được công bố, chuỗi rủi ro có thể diễn ra như sau:
AI agent gọi một API có yêu cầu thanh toán.
API gửi yêu cầu thanh toán bằng token được SDK hỗ trợ.
Client mặc định không áp dụng hạn mức chi tiêu.
API độc hại có thể yêu cầu khoản tiền vượt xa mức hợp lý.
Agent có nguy cơ thanh toán tới toàn bộ số dư token liên quan.
Đây là rủi ro về thiết kế quyền hạn và cấu hình, không nhất thiết đồng nghĩa agent đã bị chiếm quyền theo cách truyền thống. Agent có thể chỉ thực hiện hành vi mà client đang cho phép.
Với SOC và đội security, điều đó mở rộng bề mặt giám sát: ngoài dấu hiệu đăng nhập bất thường, lộ khóa hoặc mã độc, cần quan sát cả hành vi thanh toán không phù hợp của agent.
Việc cần kiểm tra ngay
Thông tin từ V12 cho biết các bản phát hành ngày 18/8 đã thêm giới hạn chi tiêu. Dù vậy, chỉ nâng cấp dependency là chưa đủ nếu hạn mức chưa được thiết lập phù hợp với mục đích nghiệp vụ.
Các đội security, platform và phát triển nên ưu tiên rà soát:
Lập danh mục agent có quyền thanh toán
Xác định agent nào đang dùng x402 SDK, có ví token hoặc có thể thanh toán khi gọi API. Mỗi agent nên có chủ sở hữu kỹ thuật và chủ sở hữu nghiệp vụ rõ ràng.
Xác nhận tình trạng cập nhật SDK
Đối chiếu dependency đang chạy với các bản phát hành đã bổ sung giới hạn. Những triển khai chưa thể xác nhận cần được đánh giá ưu tiên.
Kiểm tra hạn mức thực tế
Không chỉ kiểm tra SDK có hỗ trợ limit hay không. Cần xác minh agent đang chạy có giới hạn chi tiêu phù hợp với nhu cầu của tác vụ.
Giới hạn số dư và phạm vi sử dụng
Không nên để một agent nắm giữ số dư vượt quá phạm vi cần thiết. Việc tách biệt số dư theo chức năng có thể giảm tác động nếu xảy ra yêu cầu thanh toán bất thường.
Thiết lập cơ chế dừng hoặc phê duyệt
Với khoản phí không phù hợp với loại API, nhà cung cấp hoặc hành vi thông thường của agent, tổ chức nên cân nhắc chặn luồng tự động hoặc yêu cầu phê duyệt bổ sung.
Nguồn hiện có không nêu chi tiết tên tham số cấu hình, cách đặt limit hay định dạng log. Vì vậy, đội triển khai cần xác minh trực tiếp trong tài liệu và phiên bản SDK đang sử dụng, thay vì suy đoán từ ví dụ không chính thức.
SOC nên xem thanh toán là tín hiệu bảo mật
Một API có thể trả về phản hồi hợp lệ về mặt kỹ thuật nhưng vẫn đưa ra yêu cầu thanh toán gây hại. Vì vậy, cảnh báo chỉ dựa trên lỗi HTTP hoặc lỗi tích hợp là không đủ đối với agent có quyền chi tiền.
SOC có thể phối hợp với đội ứng dụng để theo dõi các tình huống như:
Agent thanh toán khi gọi API chưa được phê duyệt.
Mức chi cho một yêu cầu khác thường so với ngưỡng đã đặt hoặc hành vi trước đó.
Nhiều yêu cầu thanh toán bị từ chối liên tiếp từ cùng một agent hoặc API.
Số dư token giảm mạnh ngay sau một lần gọi API.
Agent bắt đầu tương tác với dịch vụ mới và đồng thời phát sinh thanh toán.
Hạn mức chi tiêu bị thay đổi, bị gỡ bỏ hoặc không thể xác nhận.
Khi điều tra, cần liên kết ba lớp thông tin: tác vụ hoặc đối tượng kích hoạt agent, API mà agent đã gọi và quyết định thanh toán. Nếu thiếu một lớp, đội ứng phó có thể thấy số dư giảm nhưng khó xác định nguyên nhân.
Baseline kiểm soát cho agent có quyền chi tiền
Với nhóm risk & compliance, phát hiện này có thể được chuyển thành một số yêu cầu tối thiểu:
Không dùng client mặc định khi chưa xác nhận có hạn mức chi tiêu phù hợp.
Mọi agent có khả năng thanh toán cần có chủ sở hữu nghiệp vụ và kỹ thuật.
Agent chỉ nên thanh toán cho các API đã được đánh giá theo quy trình của tổ chức.
Hạn mức và số dư phải tuân theo nguyên tắc đặc quyền tối thiểu.
Thay đổi SDK, cấu hình ví hoặc hạn mức nên được quản lý qua quy trình kiểm soát thay đổi.
Sự kiện gọi API và thanh toán cần sẵn sàng phục vụ điều tra sự cố.
Trước khi cấp quyền thanh toán thực, nên kiểm tra có kiểm soát kịch bản API yêu cầu mức phí bất thường.
Cập nhật là cần thiết, nhưng chưa đủ
Việc bổ sung hạn mức trong các bản phát hành mới giúp giảm rủi ro được V12 nêu ra. Tuy nhiên, một ngưỡng đặt quá cao, số dư cấp cho agent quá lớn hoặc thiếu khả năng giám sát vẫn có thể tạo ra tác động đáng kể.
Thông tin hiện có chưa nêu đầy đủ phạm vi SDK bị ảnh hưởng, token liên quan hoặc cách cấu hình cụ thể. Do đó, tổ chức không nên đánh giá rủi ro chỉ dựa vào tên thư viện. Cần kiểm tra quyền thanh toán thực tế, cấu hình đang chạy và khả năng phát hiện của từng agent.
Khi AI agent có thể tự trả tiền, API không còn chỉ là một endpoint. Nó trở thành một thành phần có thể tác động trực tiếp đến tài sản. Cập nhật SDK là bước đầu; hạn mức phù hợp, số dư tối thiểu và giám sát giao dịch mới là các lớp kiểm soát quan trọng để hạn chế thiệt hại.