Een kritiek lek in de x402 SDK’s kon kwaadwillende API’s het volledige tokensaldo van een AI-agent laten opeisen, ontdekte beveiligingsbedrijf V12. x402 is een open standaard waarmee software, waaronder AI-agents, een API-aanroep direct binnen de webrequest kan betalen zonder dat een mens elke transactie goedkeurt. Een server die betaling vereist antwoordt met HTTP-statuscode 402 (Payment Required) en een lijst betaalopties met bedrag, token en ontvanger; de client kiest een optie, ondertekent de betaling en stuurt het verzoek opnieuw. Coinbase ontwikkelde de standaard oorspronkelijk; in 2026 ging het beheer over naar de x402 Foundation, een project van de Linux Foundation.
Het probleem zat in de standaardclient van de SDK’s, die altijd de eerste betaaloptie uit de lijst koos en vóór de fix geen bovengrens aan het bedrag stelde. Een kwaadaardige API kon zo een gewone data-aanvraag laten veranderen in een verzoek om het volledige saldo van een ondersteunde token. Door eerst een kleine, onschuldige betaling te vragen kon de API het walletadres van de agent achterhalen en het saldo vooraf opzoeken, waarna een agent met een automatische ondertekenaar en zonder eigen betalingsbeleid de grote betaling alsnog signeerde. Bij tokens die ondertekende overboekingen ondersteunen, kon de aanvaller die betaling daarna zelf indienen. Het risico gold specifiek voor agents die automatisch betalingen tekenen in apps zonder eigen limiet.
V12 publiceerde de bevindingen op 22 oktober 2026, op basis van codereview en lokale tests, en vond in totaal 25 fouten in de x402-code. Drie daarvan beschreef het bedrijf in detail als kritiek: naast het ontbreken van een bedragslimiet ging het om een Solana-facilitator in TypeScript die een tokenapproval ten onrechte als geldige betaling accepteerde (kwetsbaar in @x402/svm 2.0.0 tot en met 2.22.0), en om een fout waarmee een kwaadaardige server een agent een SIWx-inlogbericht kon laten ondertekenen voor een andere website dan waarmee die agent dacht te communiceren. Volgens V12 zijn er geen aanvallen in het wild gemeld. Alle drie zijn verholpen in de releases van 18 augustus 2026 van de TypeScript-, Python- en Go-clients. Sinds versie 2.23.0 geldt voor de standaardclients een limiet van maximaal 1 dollar per betaling en worden alleen nog herkende USD-stablecoins zoals USDC geaccepteerd. De x402 Foundation heeft hierover geen apart beveiligingsadvies gepubliceerd.
Wie AI-agents met geautomatiseerde betalingen via x402 inzet, moet @x402/fetch, @x402/axios en @x402/svm bijwerken naar minimaal versie 2.23.0 en spendControls nooit op false zetten. Kan dat nog niet meteen, registreer dan een betalingsbeleid dat opties boven een vastgesteld bedrag weigert (registerPolicy in TypeScript/Go, register_policy in Python) en stel harde budgetten per betaling in.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Zet uw organisatie AI-agents in die automatisch betalen via x402? Controleer dan nu of de gebruikte SDK's op versie 2.23.0 of nieuwer staan en of spendControls niet is uitgeschakeld.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.