기술 요약: AI 경제에서의 무임승차(Free-Riding)

1. 문제 정의

에이전트 간(Agent-to-Agent, A2A) 경제의 부상은 고빈도, 자율적 트랜잭션을 처리할 수 있는 프로그래밍 가능한 금융 레일의 필요성을 촉발했습니다. x402 프로토콜은 HTTP 402 "결제 필요(Payment Required)" 상태 코드를 활용하여 애플리케이션 계층 요청에 암호화된 결제 지침을 직접 삽입함으로써, 머신 간 결제의 사실상 표준(de facto standard)으로 부상했습니다.

그러나 x402의 운영화는 근본적인 아키텍처적 불협화음을 야기합니다. 즉, 동기적이고 일시적인 HTTP 요청-응답 사이클과 **비동기적이며 확률적인 블록체인 최종성(finality)**을 연결하려고 시도한다는 점입니다. 본 논문은 현재의 x402 생태계 구현이 이러한 상태 동기화 격차로 인해 핵심 보안 불변량(security invariants)을 강제하는 데 실패한다고 주장합니다. 구체적으로, 검증(오프체인)과 결제(온체인)의 디커플링은 레이스 컨디션(race conditions)과 의미론적 모호성을 생성하여 공격자가 "무임승차"를 할 수 있게 하며, 상인이 컴퓨팅 비용을 보조하게 만들고 시스템을 체계적인 경제적 착취에 노출시킵니다.

2. 방법론

저자들은 정형 모델링(formal modeling)과 실증적 검증(empirical validation)을 결합한 엄격한 보안 분석 프레임워크를 채택합니다.

• 정형 시스템 모델링: 결제 워크플로우를 쇼퍼($S$), 머천트($M$), 퍼실리테이터($F$), 블록체인($B$)의 네 가지 엔티티가 포함된 상태 전이 시스템으로 모델링합니다.
• 보안 불변량: 저자들은 안전한 구현이 반드시 준수해야 하는 다섯 가지 핵심 보안 불변량을 정의합니다:
  1. 결제 무결성 (I1): 전달(Delivery)은 확정된 온체인 결제를 함의한다.
  2. 가치 일관성 (I2): 트랜잭션 가치는 리소스 가격 책정 로직을 충족해야 한다.
  3. 컨텍스트 바인딩 (I3): 결제 승인은 특정 리소스 식별자와 암호학적으로 결합되어야 한다.
  4. 승인 유일성 (I4): 결제 논스(nonce)는 정확히 한 번만 소비되어야 한다.
  5. 실행 보존 (I5): 상당한 양의 계산 작업은 결제가 확보되지 않은 상태에서 시작되어서는 안 된다.
• 취약점 분석: 저자들은 프로토콜 명세를 분석하고 공식 SDK(TypeScript, Python, Java, Go) 및 라이브 미들웨어 배포(Thirdweb, Coinbase)를 감사합니다.
• 실증적 검증: 식별된 공격의 성공률을 정량화하기 위해 여러 테스트넷(Base Sepolia, Solana Devnet, Arbitrum Sepolia) 및 공식 배포 환경을 대상으로 통제된 실험을 수행했습니다.

3. 주요 결과 및 취약점

분석 결과, 현재의 구현 방식은 정의된 불변량을 체계적으로 위반하며, 이는 세 가지 주요 클래스의 취약점으로 이어집니다.

A. 교차 리소스 치환 (I3 위반)

• 메커ж즘: x402 프로토콜 설계는 자금을 머천트 주소에 결합하는 EIP-712 서명에 의존하지만, 특정 리소스 식별자($ID_r$)에 대해서는 컨텍스트를 인지하지 못하는(context-agnostic) 특성을 가집나다.
• 결함: 공식 SDK는 서명을 HTTP 요청 컨텍스트(URI, 메서드, 바디)에 암호학적으로 결합하는 데 실패합니다.
• 공격: 공격자는 저가치 또는 제한이 없는 리소스($r_A$)에 대한 유효한 결제 서명을 생성한 후, 이를 동일한 가격의 다른 고가치 또는 제한된 리소스($r_B$)에 적용하여 접근할 수 있습니다.
• 결과: 실험 결과, 리소스 스와핑(resource swapping)에서 100% 성공률을 보였습니다. 동시 발생 상황에서는 단일 결제가 여러 리소스를 잠금 해제하는 "서비스 복제"를 가능하게 했습니다.

B. 확률적 서비스 복제 (I4 위반)

• 메커니즘: 논스의 오프체인 검증과 온체인 결제 사이에 TOCTOU(Time-of-Check to Time-of-Use) 레이스 컨디션이 존재합니다.
• 결함: 퍼실리테이터의 검증 로직은 상태가 없으며(stateless) 읽기 전용입니다. 즉, 논스를 잠그지 않습니다.
• 공격: 공격자가 동일한 서명된 페이로드로 $N$개의 동시 요청을 브로드캐스트합니다. 여러 서버 스레드가 첫 번째 스레드가 블록체인 상태를 업데이트하기 전에 동시에 논스를 "미사용" 상태로 검증합니다.
• 결과: 머천트는 서비스를 $N$번 제공하지만, 온체인에서는 단 하나의 트랜잭션만 결제됩니다. Base Sepolia 테스트넷에서의 실험 결과, 고빈도 AI 에이전트를 위한 확장 가능한 차익 거래 위험을 시사하는 6%의 서비스 복제 성공률을 보였습니다.

C. AI 특화 상태 드리프트 (I2 및 I5 위반)

AI 추론 도메인에서 동적 가격 책정( "upto" 승인 체계 사용)으로의 전환은 취약점을 악화시킵니다:

1. 한도 초과 결제 (Allowance Overdraft): LLM 추론 비용은 완료 시점까지 알 수 없으므로, 머천트는 정확한 금액 대신 지출 상한선($V_{max}$)을 검증해야 합니다. 공격자는 한도(allowance)에 대한 원자적 잠금(atomic locking)의 부재를 악용합니다. 공격자가 $\sum v_i \gg V_{max}$가 되도록 $N$개의 동시 요청을 실행하면, 공격자는 모든 요청에 대한 리소스를 소비합니다. 블록체인은 초과 트랜잭션을 거부(revert)하지만, 머천트는 이미 컴퓨팅 출력을 전달한 상태가 됩니다.
   • 영향: 실험 결과, **누출 비율($\rho$)이 최대 97.76%**에 달했습니다. 즉, 공격자는 비용의 극히 일부만 지불하고 거의 100%의 컴퓨팅 리소스를 획득했습니다.
2. 결제 거부 (Denial of Settlement): 공격자는 퍼실리테이터의 결제 속도 제한(예: 10 tx/s)을 초과하는 유효한 요청을 쏟아부을 수 있습니다. 검증 계층은 버스트(burst)를 수락하고 머천트는 서비스를 제공하지만, 결제 API는 초과된 트랜잭션을 거부합니다.
   • 영향: 극단적인 경우, 머천트가 결제 없이 전체 서비스를 제공하게 되는 100%의 누출 비율을 초래했습니다.

4. 제안된 완화 방안

본 논문은 보안 불변량을 복구하기 위해 네 가지 계층적 방어 전략을 제안합니다.

1. 암호학적 컨텍스트 바인딩: EIP-712 스키마를 확장하여 전체 HTTP 요청(메서드, URI, 바디)의 해시를 서명에 포함합니다. 이를 통해 시맨틱 갭을 제거하고, 서명이 다른 리소스에 재사용되는 것을 방지합니다.
2. 상태 기반 논스 선형화 (Stateful Nonce Linearization): 분산 락(예: SETNX)을 사용하는 "Check-and-Set" 모델을 퍼실리테이터 수준에서 구현합니다. 이를 통해 여러 스레드가 논스를 검증하더라도 첫 번째 스레드만이 결제를 진행하도록 보장하여 레이스 컨디션을 제거합니다.
3. 비관적 리소스 전달 (Pessimistic Resource Delivery):
   • 지연 전달 (Deferred Delivery): 결제가 확인될 때까지 AI 추론 출력을 버퍼링합니다. 이는 경제적 탈취 유인을 무력화합니다(결제가 실패하면 공격자는 데이터를 얻지 못함).
   • 2단계 잠금 (Two-Phase Locking): 높은 이해관계가 걸린 시나리오의 경우, 실행 전 최대 상한액을 에스크로 계약으로 이체하여 한도 체크를 원자화합니다.
   • 크립토이코노믹 안티-그리핑 (Cryptoeconomic Anti-Griefing): 에이전트에게 결제 거부(revert)를 대비한 "가스 본드(gas bond)"를 스테이킹하도록 요구하고, 에이전트가 머천트를 그리핑(griefing)하려 할 경우 스테이크를 슬래싱합니다.
4. 실패 폐쇄형 설계 (Failure-Closed Design): 속도 제한 및 과금 체크를 요청 인그레스(ingress)와 동기화합니다. 결제 용량이 초과되면, 프로세싱 후 무료로 제공하는 대신 즉시 요청을 거부(429)해야 합니다.

5. 의의 및 주장

본 논문은 x402 생태계에 대한 최초의 종합적인 보안 분석임을 자처합니다. 그 의의는 다음과 같습니다:

• 체계적 위험 식별: 웹 프로토콜과 블록체인 사이의 아키텍처적 불협화음이 단순한 구현 버그가 아니라, 에이전트 웹의 경제적 신뢰 모델을 저해하는 구조적 결함임을 입증했습니다.
• 보안 불변량의 정형화: 하이브리드 에이전트 시스템을 보호하는 데 필요한 공식 프레임워크(5가지 불변량)를 구축하여, 향후 프로토콜 설계의 기준을 제공했습니다.
• "무임승차" 위협 폭로: 현재의 동적 가격 책정 모델이 어떻게 AI 분야에서 대규모로 머천트가 컴퓨팅 비용을 보조하게 만드는지 정량화하여, AI 경제의 생존을 위협하는 문제를 드러냈습니다.
• 책임 있는 공개: 식별된 모든 문제는 Coinbase와 Thirdweb에 공개되었으며, 이는 "편의적 느슨함(ergonomic looseness)"에서 "엄격한 암호학적 결합(rigorous cryptographic binding)"으로의 아키텍처적 전환이 시급함을 강조합니다.

저자들은 상태 인식 미들웨어와 비관적 잠금 메커니즘을 채택하지 않는다면, AI 경제는 체계적인 무임승차가 빈번한 철로 위에 경제적 토대를 구축하게 될 위험이 있다고 결론짓습니다.