SoFi 研究人員披露 x402 代理支付 20 類攻擊面，6 種可致代理超額付款

SoFi 研究人員 Ishween Kaur 公佈了對 x402 機器支付協議的安全測試結果，稱共梳理出 20 種攻擊路徑，其中 6 種可讓 AI 代理在單筆交易中支付超出預期的金額。x402 是基於 HTTP 402 狀態碼的機器支付協議，近期被多家支付與基礎設施公司用於代理發起的穩定幣結算場景。

據該研究，問題集中在代理對支付請求的解析與授權環節：攻擊者可構造畸形的支付條件或篡改金額字段，使代理在未察覺的情況下放行更高額度。Kaur 將這類風險歸因於協議層對授權意圖（mandate）與單筆額度校驗的約束不足。

該披露出現在 x402 生態快速擴張的時點，Stripe 等機構已開始向自動化場景開放穩定幣結算。對代理支付而言，金額字段的可信校驗與結算前攔截正成為落地前必須補齊的一環。

來源：https://news.google.com/rss/articles/CBMiW0FVX3lxTE9hQUdVM3FXNU42bHE0eHdKY2QxZWN0bTFnWUVXYmlFUXNaaDBNcFdHX1FHRDJhYzgyUjF2dEx3ZS1DNWRzRHkyTUxjRTBfRndnOEtnbHRqa29OM1U?oc=5