Une faille du SDK x402 permettait à une API malveillante de faire signer à un agent IA un paiement égal à tout son solde.

Une faille dans le SDK x402 aurait pu coûter très cher aux agents d’intelligence artificielle. Ces agents sont chargés de payer des appels d’API. Selon la société de sécurité V12, une API malveillante pouvait réclamer la totalité du solde d’un jeton pris en charge. V12 a communiqué le 22 octobre. Ainsi, l’agent signait le paiement sans broncher.

Le problème touche un usage en plein essor : les agents autonomes qui règlent eux-mêmes les services qu’ils consomment. Or, dans ce schéma, une simple demande de paiement suffisait à déclencher une perte financière.

Une faille dans le SDK x402 aux conséquences financières directes

Le protocole x402 permet à un agent de payer automatiquement une API au moment de la requête. Concrètement, le service indique le montant attendu. Ensuite, le client signe la transaction correspondante. Ce fonctionnement évite toute intervention humaine. C’est pourquoi il plaît beaucoup aux concepteurs d’agents.

Cependant, cette automatisation suppose une confiance totale dans le montant demandé. V12 explique que les SDK ne vérifiaient pas assez ce point. Un serveur hostile pouvait donc exiger une somme égale au solde complet de l’agent. Le client signait la demande telle quelle.

Les informations disponibles ne mentionnent aucun identifiant CVE pour ce défaut. En revanche, l’impact potentiel justifie la qualification de faille critique. En effet, il s’agit d’une perte directe de fonds.

Pourquoi l’absence de plafond pose problème

La cause tient à un choix de conception. Le client par défaut des SDK ne fixait aucune limite de dépense. Autrement dit, l’agent n’avait aucun garde-fou face à une demande excessive. De plus, il ne comparait pas le montant réclamé à un seuil raisonnable.

Ce type de défaut est classique dans les systèmes de paiement automatisés. En effet, un paramètre de sécurité absent par défaut est rarement activé par les développeurs. Ainsi, beaucoup d’applications héritent d’un comportement dangereux sans le savoir.

Les éditeurs ont toutefois réagi. Des versions publiées le 18 août ont introduit une limite de dépense dans les SDK. Cette correction est donc antérieure à l’annonce de V12 du 22 octobre. Par conséquent, les équipes qui ont mis à jour leurs dépendances depuis cette date bénéficient d’un premier niveau de protection.

Un scénario d’attaque simple

L’exploitation ne demande pas de technique sophistiquée. Un attaquant n’a besoin que d’une API qu’un agent accepte d’appeler. Il peut la publier lui-même ou compromettre un service existant. Ensuite, il répond à la requête par une demande de paiement démesurée.

L’agent signe alors le montant exigé. La transaction part, et les fonds sont perdus. Par ailleurs, les paiements en cryptomonnaie sont difficiles à annuler. La victime a donc peu de chances de récupérer son argent.

Quels agents étaient réellement exposés ?

V12 nuance toutefois la portée du risque. Seuls les agents qui signaient automatiquement les paiements étaient concernés. De plus, la configuration de l’application jouait un rôle dans l’exposition. En revanche, la source disponible ne détaille pas toutes les conditions requises.

Les agents qui demandent une validation humaine avant chaque transaction étaient donc moins vulnérables. En revanche, les agents entièrement autonomes constituaient la cible idéale. Leur intérêt repose précisément sur l’absence de supervision.

Cette situation illustre une tension propre aux agents IA. D’un côté, on leur donne les moyens de payer seuls. De l’autre, on leur confie un portefeuille sans règles strictes. Par conséquent, la moindre erreur de conception peut vider un compte en une seule opération.

Recommandations pour sécuriser le SDK x402

Les équipes qui utilisent le SDK x402 doivent agir rapidement. D’abord, il faut vérifier la version installée. Ensuite, il convient de passer à une release publiée à partir du 18 août. Cette version inclut la limite de dépense.

Voici les mesures à appliquer en priorité :

• mettre à jour les SDK x402 vers une version contenant le plafond de dépense ;
• définir explicitement un montant maximal par paiement, sans se fier aux valeurs par défaut ;
• limiter le solde disponible dans le portefeuille de l’agent au strict nécessaire ;
• restreindre la liste des API que l’agent peut payer, par exemple avec une liste d’autorisation ;
• exiger une validation humaine au-delà d’un certain seuil ;
• surveiller les transactions signées pour détecter toute demande anormale.

Ce qu’il faut retenir

Le cas du SDK x402 rappelle qu’un agent autonome doit être traité comme un utilisateur à risque. Il agit vite, et il ne doute pas. Un client sans plafond de dépense transforme donc chaque API tierce en menace potentielle.

• V12 a signalé le problème le 22 octobre.
• Un serveur malveillant pouvait obtenir la signature d’un paiement équivalant au solde complet d’un jeton pris en charge.
• La cause était l’absence de limite de dépense dans le client par défaut.
• Des versions du 18 août ont ajouté cette limite.
• Les agents qui signent automatiquement les paiements restent les plus exposés.

En définitive, la mise à jour ne suffit pas. Il faut également concevoir des garde-fous propres à chaque application. Ainsi, un plafond bien choisi et un portefeuille peu approvisionné réduisent fortement les dégâts en cas d’abus.

Source : Critical x402 SDK Flaw Could Let Malicious APIs Drain AI Agents’ Token Balances