x402 सॉफ्टवेयर डेवलपमेंट किट की गंभीर खामियों से एआई एजेंटों के टोकन बैलेंस खाली होने का खतरा
26 अक्टूबर 2026 · 2 मिनट पठन
सुरक्षा फर्म V12 ने 22 अक्टूबर को बताया कि x402 सॉफ्टवेयर डेवलपमेंट किट का उपयोग करके एपीआई कॉल के लिए भुगतान करने वाले एआई एजेंटों के समर्थित टोकन का पूरा बैलेंस खाली हो सकता था, यदि कोई दुर्भावनापूर्ण एपीआई इसकी मांग करता।
इस समस्या का कारण सॉफ्टवेयर डेवलपमेंट किट का डिफॉल्ट क्लाइंट था, जिसने 18 अगस्त की रिलीज तक खर्च की कोई सीमा निर्धारित नहीं की थी। यह जोखिम केवल उन एजेंटों तक सीमित था जो स्वचालित रूप से भुगतान पर हस्ताक्षर करते थे और जिनके ऐप्स ने कोई सीमा तय नहीं की थी। एक शत्रुतापूर्ण एपीआई नियमित डेटा अनुरोध को वॉलेट के पूरे बैलेंस के अनुरोध में बदल सकता था। 18 अगस्त की रिलीज ने टाइपस्क्रिप्ट, पायथन और गो क्लाइंट्स में खर्च नियंत्रण जोड़ दिए हैं, जो अब डिफ़ॉल्ट रूप से प्रत्येक भुगतान को 1 डॉलर तक सीमित करते हैं और केवल मान्यता प्राप्त अमेरिकी डॉलर स्टेबलकॉइन्स, जैसे USDC, की अनुमति देते हैं।
V12 ने x402 कोड में 25 खामियां पाईं, जिनमें से तीन को गंभीर श्रेणी में रखा गया। x402 फाउंडेशन ने 18 अगस्त की रिलीज में इन तीनों गंभीर खामियों को ठीक कर दिया था। एक अन्य गंभीर खामी के कारण सोलाना लेनदेन में टोकन ट्रांसफर के बिना भी भुगतान मान्य हो सकता था, जिससे भुगतान बाईपास होने का खतरा था। यह समस्या केवल टाइपस्क्रिप्ट सॉफ्टवेयर डेवलपमेंट किट में थी। एक तीसरी खामी किसी दुर्भावनापूर्ण सर्वर को किसी अन्य वेबसाइट के लिए लॉगिन संदेश पर हस्ताक्षर कराने की अनुमति देती थी। अब अपडेटेड क्लाइंट्स केवल तभी हस्ताक्षर करते हैं जब संदेश में दी गई साइट और प्रतिक्रिया भेजने वाली साइट मेल खाती हो।
V12 ने कोड की समीक्षा और स्थानीय परीक्षणों के माध्यम से इन खामियों का पता लगाया। V12 या x402 फाउंडेशन, दोनों में से किसी ने भी इनका उपयोग करके किए गए किसी हमले की सार्वजनिक रूप से रिपोर्ट नहीं की है। फाउंडेशन ने इन खामियों के लिए कोई सुरक्षा सलाहकार जारी नहीं किया है और चेंजलॉग में इन्हें सुरक्षा सुधार के रूप में नहीं बताया गया है। 23 अक्टूबर तक, npm ऑडिट और PyPI ने सुधारों से पहले के संस्करणों के लिए कोई चेतावनी या भेद्यता सूचीबद्ध नहीं की थी।
Coinbase ने x402 बनाया और इस साल इसे x402 फाउंडेशन को सौंप दिया, जो एक Linux Foundation प्रोजेक्ट है। इस फाउंडेशन के सदस्यों में Visa और Mastercard शामिल हैं, जबकि Coinbase फाउंडेशन की तकनीकी संचालन समिति में सबसे वरिष्ठ सीट रखता है। x402 एक खुला मानक है जो एआई एजेंटों जैसे सॉफ्टवेयर को वेब अनुरोध के भीतर ही एपीआई कॉल के लिए भुगतान करने की अनुमति देता है, जिससे प्रत्येक भुगतान के लिए मानवीय अनुमोदन की आवश्यकता नहीं होती।