Falha crítica no SDK x402 podia deixar APIs maliciosas drenarem o saldo de tokens de agentes de IA
A firma de segurança V12 revelou que, até uma correção lançada em 18 de agosto, os SDKs do protocolo de pagamento x402 vinham com cliente padrão sem qualquer limite de gasto. Isso permitia que uma API maliciosa chamada por um agente de IA solicitasse a assinatura de um pagamento pelo saldo inteiro de um token suportado, drenando a carteira do agente em uma única interação.
O x402 é um protocolo pensado para permitir que agentes de IA paguem automaticamente por chamadas de API usando tokens, sem intervenção humana a cada transação. Segundo a V12, o cliente padrão distribuído nos SDKs do protocolo não impunha nenhum teto de gasto antes de releases publicadas em 18 de agosto: bastava uma API mal-intencionada pedir a assinatura de um valor correspondente a todo o saldo disponível do agente para que, em tese, esse valor fosse assinado e transferido.
O mecanismo de exploração é simples de entender mesmo sem olhar o código-fonte: o risco depende inteiramente de o agente assinar pagamentos de forma automática e de a aplicação que o envolve não impor validações próprias de valor máximo por transação. Um agente de IA que delega a um fluxo automatizado a decisão de "pagar o que a API pedir" é, por definição, incapaz de distinguir uma cobrança legítima de uma tentativa de drenagem total — a confiança implícita no protocolo substitui o julgamento humano que normalmente notaria um valor incomum.
Isso importa porque expõe um padrão de risco que vai se repetir conforme agentes de IA ganham autonomia financeira: mecanismos de pagamento desenhados para remover fricção (e, portanto, intervenção humana) tendem a remover junto as validações de bom senso que um humano aplicaria naturalmente. Combinar protocolos de pagamento em tokens com agentes autônomos cria uma superfície de ataque nova, onde o 'exploit' não é um buffer overflow, mas simplesmente a ausência de um limite de configuração — barata de explorar e potencialmente cara para a vítima.
Não foi possível recuperar o texto completo da reportagem original (TheHackerNews) durante esta análise, pois o WebFetch retornou erro HTTP 403; a descrição acima se baseia apenas no resumo distribuído via RSS. Não há confirmação, portanto, sobre quais SDKs/linguagens específicas foram afetadas, se um CVE foi formalmente atribuído, ou detalhes adicionais que a V12 possa ter publicado sobre a extensão real da exploração em produção.