💻 computer science

Free-Riding in the AI Economy: Demystifying Logic Flaws in x402-Enabled Payment Systems

Dit artikel presenteert de eerste uitgebreide beveiligingsanalyse van het x402-protocol, waarbij kritieke kwetsbaarheden zoals hiaten in het ontwerp van handtekeningen en racecondities worden onthuld die free-riding en lekkage van middelen in AI-gestuurde betalingssystemen mogelijk maken, en stelt architecturale mitigaties voor om machine-naar-machine-transacties te beveiligen.

Oorspronkelijke auteurs: Shengchen Ling, Yihang Huang, Yuan Chen, Yajin Zhou, Lei Wu, Cong Wang

Gepubliceerd 2026-06-01

📖 6 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Shengchen Ling, Yihang Huang, Yuan Chen, Yajin Zhou, Lei Wu, Cong Wang

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een bruisende digitale marktplaats voor waar robots (AI-agenten) met de snelheid van het licht diensten van elkaar kopen en verkopen. Ze hebben geen kassiers of menselijke managers; ze praten gewoon met elkaar en wisselen direct digitale munten uit. Om dit werkbaar te maken, werd een nieuw systeem genaamd x402 uitgevonden. Het is als een universeel "Betalingsbewijs om binnen te komen"-bord dat robots automatisch kunnen lezen en opvolgen.

Dit artikel is echter een beveiligingsrapport dat zegt: "De sloten op deze marktplaats zijn kapot."

De onderzoekers ontdekten dat omdat het systeem probeert te snel en te flexibel te zijn, er een "kloof" is ontstaan tussen het moment waarop een robot zegt te gaan betalen en het moment waarop het geld daadwerkelijk aankomt. Deze kloof stelt kwaadwillenden in staat om het systeem te misleiden zodat ze gratis werk krijgen.

Hier is een overzicht van de vier belangrijkste manieren waarop dit "Gratis Rijden" (Free-Riding) gebeurt, met behulp van eenvoudige analogieën:

1. Het "Verkeerd Ticket" Probleem (Cross-Resource Substitution)

De Analogie: Stel je voor dat je een kaartje koopt voor een film genaamd The Matrix. Op het kaartje staat: "Eén entree, $10." Maar de beveiligingsbeambte van de bioscoop controleert alleen de prijs ($10) en niet de titel van de film.
De Fout: Een hacker koopt een kaartje voor de goedkope film (The Matrix), maar loopt naar de ingang van de VIP-lounge voor de dure film (Dune). De bewaker ziet het kaartje van $10, knikt en laat hem binnen.
De Realiteit: In het x402-systeem bevat de digitale "handtekening" die een robot gebruikt om te betalen niet strikt welke specifieke dienst er wordt betaald, maar alleen hoeveel en aan wie. Een hacker kan een geldig betalingsbewijs voor een goedkope API-aanroep gebruiken om een premium, dure AI-dienst te ontgrendelen. Het systeem accepteert het geld, maar levert het verkeerde (en waardevollere) product.

2. Het "Dubbel Boeken" Probleem (Probabilistic Service Duplication)

De Analogie: Stel je een hotel voor met een zeer trage receptie. Je loopt naar binnen en zegt: "Ik heb een reservering." De medewerker controleert de computer, ziet dat je naam nog vrij is, en zegt: "Geweldig, ga naar je kamer!"
Terwijl de medewerker nog bezig is met het invoeren van de check-in in het hoofdboek, loop je terug naar de receptie met een vriend en zegt: "Ik heb ook een reservering!" Omdat de medewerker de eerste check nog niet heeft afgerond, ziet de computer voor de tweede persoon ook nog steeds "vrij" aan. Jullie krijgen allebei een kamersleutel, maar het hotel rekent jullie slechts één keer.
De Fout: Het x402-systeem controleert of een betaling geldig is (de "check"), maar het blokkeert de transactie niet onmiddellijk (de "lock"). Een hacker kan dezelfde betalingsaanvraag binnen een fractie van een seconde 20 keer versturen. De server, die snel beweegt, zegt op alle 20 aanvragen "Ja" voordat de blockchain (het hoofdboek) de tijd heeft gehad om te zeggen: "Wacht, die betaling is al gebruikt!" De handelaar levert 20 diensten, maar krijgt er slechts één betaald.

3. Het "Blanco Cheque" Probleem (Allowance Overdrafts)

De Analogie: Stel je voor dat je een ober een creditcard geeft met een limiet van $100 en zegt: "Bestel maar wat je wilt, zolang je maar niet boven de $100 uitkomt." De ober begint dure biefstukken te bestellen.
Het probleem is dat de ober 10 biefstukken bestelt voordat de bank de tijd heeft gehad om te controleren of je het geld daadwerkelijk hebt. Tegen de tijd dat de bank de kaart probeert af te rekenen, heb je al $500 uitgegeven. De bank wijst de betaling af, maar de ober heeft het eten al geserveerd. Je krijgt het eten gratis; het restaurant draagt de kosten.
De Fout: In de AI-wereld is de kosten van een taak pas bekend wanneer deze is voltooid. Hackers stellen een "uitgavenlimiet" (allowance) in die net genoeg is om een snelle controle te passeren. Ze triggeren vervolgens enorme, dure AI-taken. Het systeem start het werk onmiddellijk (omdat de controle is geslaagd), maar tegen de tijd dat de definitieve rekening wordt berekend, heeft de hacker meer uitgegeven dan hun limiet. De blockchain wijst de betaling af, maar de AI heeft het werk al gedaan.

4. Het "Verkeersopstopping" Probleem (Denial of Settlement)

De Analogie: Stel je een tolpoortje voor dat slechts 10 auto's per minuut kan verwerken. Een hacker stuurt tegelijkertijd 50 auto's door de poort. De poort gaat voor alle 50 open omdat de "toegang" snel gaat. Maar wanneer de auto's aan het einde van de weg proberen te betalen, is de betaalkant overbelast en kan deze slechts 10 auto's verwerken. De andere 40 auto's rijden gewoon weg zonder te betalen.
De Fout: Het systeem heeft een limiet op het aantal betalingen dat het per seconde kan verwerken. Hackers overspoelen het systeem met aanvragen. De server levert de dienst aan al hen omdat de "toegang" snel is, maar de "betalingszijde" raakt verstopt. De server eindigt met het leveren van gratis diensten omdat hij de betalingen niet snel genoeg kan verwerken om "Nee" te zeggen.

Het Grotere Plaatje: Waarom dit ertoe doet

Het artikel betoogt dat het x402-systeem probeert twee dingen te doen die niet goed samengaan:

Web Snelheid: Directe, "vertrouw mij"-interacties (zoals HTTP-verzoeken).
Blockchain Veiligheid: Trage, "verifieer alles eerst"-veiligheid (zoals blockchain finality).

Door te proberen deze twee te overbruggen, heeft het systeem een "tijdkloof" gecreëerd. In die kloof kunnen kwaadwillenden binnensluipen.

De Voorgestelde Oplossingen

De auteurs stellen een paar manieren voor om dit op te lossen, wat in feid betekent dat het systeem voorzichtiger moet zijn:

Koppel het ticket aan de specifieke zitplaats: Zorg ervoor dat de digitale handtekening precies aangeeft welke dienst er wordt gekocht, en niet alleen de prijs.
Zet een "Niet Storen"-bord op het grootboek: Wanneer een betaling wordt gecontroleerd, blokkeer deze dan onmiddellijk zodat niemand anders deze kan gebruiken totdat deze is bevestigd.
Serveer het eten pas als de cheque is verwerkt: Voor AI-taken: stuur de resultaten niet naar de gebruiker totdat de betaling daadwerkelijk is bevestigd. Als de betaling mislukt, krijgt de gebruiker niets.
Controleer de capaciteit van het tolstation: Als het betalingssysteem te druk is om een rekening te verwerken, laat dan de auto er helemaal niet in.

Kortom: Het artikel onthult dat de "economische rails" voor AI-agenten momenteel vol gaten zitten waar mensen diensten kunnen stelen. Om dit te repareren, moeten we stoppen met zo optimistisch te zijn over betalingen en beginnen met het veilig vastleggen van zaken, zelfs als dat de boel iets langzamer maakt.

Technische Samenvatting: Free-Riding in de AI-economie

1. Probleemstelling

De opkomst van de agent-naar-agent (A2A) economie vereist programmeerbare financiële rails die in staat zijn om hoogfrequente, autonome transacties af te handelen. Het x402-protocol is naar voren gekomen als de de facto standaard voor machine-to-machine betalingen, waarbij gebruik wordt gemaakt van de HTTP 402 "Payment Required" statuscode om cryptografische betalingsinstructies direct in applicatielaag-verzoeken in te bedden.

De operationalisering van x402 introduceert echter een fundamentele architecturale dissonantie: het probeert synchrone, efemere HTTP request-response cycli te overbruggen met asynchrone, probabilistische blockchain-finaliteit. Dit artikel betoogt dat huidige implementaties van het x402-ecosysteem falen in het afdwingen van kritieke beveiligingsinvarianten vanwege deze synchronisatiekloof in de staat (state). Specifiek creëert de ontkoppeling van verificatie (off-chain) en settlement (on-chain) racecondities en semantische ambiguïteiten die aanvallers in staat stellen om te "free-ridden", waardoor handelaren gedwongen worden de computekosten te subsidiëren en het systeem blootstelt aan systemische economische exploitatie.

2. Methodologie

De auteurs hanteren een rigoureus security-analyseframework dat formele modellering combineert met empirische validatie:

Formele Systeemmodellering: De betalingsworkflow wordt gemodelleerd als een state transition system bestaande uit vier entiteiten: Shopper ( $S$ ), Merchant ( $M$ ), Facilitator ( $F$ ) en Blockchain ( $B$ ).
Beveiligingsinvarianten: De auteurs definiëren vijf fundamentele Beveiligingsinvarianten die een veilige implementatie moet handhaven:
1. Betalingsintegriteit (I1): Levering impliceert bevestigde on-chain settlement.
2. Waardeconsistentie (I2): De transactiewaarde moet voldoen aan de resource pricing logica.
3. Context Binding (I3): Betalingsautorisatie moet cryptografisch gebonden zijn aan de specifieke resource-identifier.
4. Autorisatie Uniciteit (I4): Een betalingsnonce moet exact één keer worden geconsumeerd.
5. Executie Conservatie (I5): Significante computationele arbeid mag niet worden gestart tenzij de betaling is veiliggesteld.
Kwetsbaarheidsanalyse: De auteurs analyseren de protocolspecificatie en auditeren officiële SDK's (TypeScript, Python, Java, Go) en live middleware-deployments (Thirdweb, Coinbase).
Empirische Validatie: Gecontroleerde experimenten werden uitgevoerd op meerdere testnets (Base Sepolia, Solana Devnet, Arbitrum Sepolia) en tegen officiële deployments om de succesratio's van geïdentificeerde aanvallen te kwantificeren.

3. Belangrijkste Bevindingen en Kwetsbaarheden

De analyse onthult dat huidige implementaties systematisch de gedefinieerde invarianten schenden, wat leidt tot drie primaire klassen van kwetsbaarheden:

A. Cross-Resource Substitutie (Schending van I3)

Mechanisme: Het x402-protocolontwerp vertrouwt op EIP-712 signatures die fondsen binden aan een merchant-adres, maar die context-agnostisch zijn met betrekking tot de specifieke resource-identifier ( $ID_r$ ).
Fout: Officiële SDK's falen in het cryptografisch binden van de signature aan de HTTP request-context (URI, methode, body).
Exploit: Een aanvaller kan een geldige betalingssignature genereren voor een resource met een lage waarde of zonder restricties ( $r_A$ ) en deze substitueren om toegang te krijgen tot een andere, hoogwaardige of beperkte resource ( $r_B$ ) met dezelfde prijs.
Resultaat: In experimenten leidde dit tot een succesratio van 100% bij resource swapping. In concurrente scenario's maakte dit "service duplicatie" mogelijk, waarbij een enkele betaling meerdere resources ontsloot.

B. Probabilistische Service Duplicatie (Schending van I4)

Mechanisme: Er bestaat een Time-of-Check to Time-of-Use (TOCTOU) raceconditie tussen de off-chain verificatie van een nonce en de on-chain settlement ervan.
Fout: De verificatielogica van de Facilitator is stateless en read-only; het vergrendelt de nonce niet.
Exploit: Een aanvaller zendt $N$ gelijktijdige verzoeken met dezelfde getekende payload. Meerdere serverthreads verifiëren de nonce gelijktijdig als "niet gebruikt" voordat de eerste thread succesvol de blockchain-staat bijwerkt.
Resultaat: De merchant levert de service $N$ keer, maar slechts één transactie wordt on-chain gesetteld. Experimenten op de Base Sepolia testnet toonden een succesratio van 6% voor service duplicatie, wat een schaalbaar arbitrage-risico vormt voor hoogfrequente AI-agents.

C. AI-Specifieke State Drifts (Schending van I2 en I5)

In het domein van AI-inferentie verergert de verschuiving naar dynamische prijsstelling (met behulp van "upto" autorisatieschema's) de kwetsbaarheden:

Allowance Overdraft: Omdat de kosten van LLM-inferentie onbekend zijn tot voltooiing, moeten handelaren een bestedingsplafond ( $V_{max}$ $V_{ma x}$ ) verifiëren in plaats van een exact bedrag. Aanvallers exploiteren het gebrek aan atomische vergrendeling op de allowance. Door $N$ $N$ gelijktijdige verzoeken te lanceren waarbij $\sum v_i \gg V_{max}$ $\sum v_{i} ≫ V_{ma x}$ , consumeert de aanvaller resources voor alle verzoeken. De blockchain keert de excessieve transacties terug, maar de merchant heeft de compute-output al geleverd.
- Impact: Experimenten toonden een leakage ratio ( $\rho$ ) van tot wel 97,76%, wat betekent dat aanvallers bijna 100% van de compute-resources ontvingen terwijl ze slechts een fractie van de kosten betaalden.
Denial of Settlement: Aanvallers kunnen het systeem overspoelen met geldige verzoeken die de settlement rate limits van de Facilitator overschrijden (bijv. 10 tx/s). De verificatielaag accepteert de burst en de merchant levert de service, maar de settlement API wijst de excessieve transacties af.
- Impact: In extreme gevallen resulteerde dit in een leakage ratio van 100%, waarbij de merchant de volledige service leverde zonder enige betaling.

4. Voorgestelde Mitigaties

Het paper stelt vier hiërarchische defensiestrategieën voor om de beveiligingsinvarianten te herstellen:

Cryptografische Context Binding: Breid EIP-712 schema's uit met een hash van de volledige HTTP request (Methode, URI, Body) in de signature. Dit elimineert de semantische kloof, waardoor signatures ongeldig worden als ze tegen andere resources worden afgespeeld.
Stateful Nonce Linearization: Implementeer een "Check-and-Set" model op het niveau van de Facilitator met behulp van distributed locks (bijv. SETNX). Dit zorgt ervoor dat zelfs als meerdere threads een nonce verifiëren, alleen de eerste die de lock verkrijgt, doorgaat naar settlement, wat racecondities elimineert.
Pessimistische Resource Levering:
- Deferred Delivery: Buffer AI-inferentie output totdat de settlement is bevestigd. Dit neutraliseert de economische prikkel voor diefstal (de aanvaller krijgt geen data als de betaling faalt).
- Two-Phase Locking: Voor scenario's met hoge inzet: draag het maximale plafond over naar een escrow contract vóór uitvoering om de allowance check te atomiseren.
- Cryptoeconomische Anti-Griefing: Vereis dat agents een "gas bond" inzetten om potentiële settlement reverts te dekken, waarbij de stake wordt geslashed als de agent probeert de merchant te griefen.
Failure-Closed Design: Synchroniseer rate limiting en facturatiecontroles met de request ingress. Als de settlement capaciteit wordt overschreden, moet het verzoek onmiddellijk worden afgewezen (429) in plaats van te worden verwerkt en geleverd voor een gratis prijs.

5. Betekenis en Claims

Het paper claimt de eerste uitgebreide beveiligingsanalyse van het x402-ecosysteem te zijn. De betekenis ligt in:

Identificatie van Systemisch Risico: Het toont aan dat de architecturale dissonantie tussen webprotocollen en blockchains niet louter een implementatiefout is, maar een structureel defect dat het economische vertrouwensmodel van het agentic web ondermijnt.
Formalisering van Beveiligingsinvarianten: Het stelt een formeel framework op (de vijf invarianten) die noodzakelijk is voor het beveiligen van hybride agentische systemen, en biedt een baseline voor toekomstig protocolontwerp.
Blootleggen van de "Free-Riding" Dreiging: Het kwantificeert hoe huidige dynamische prijsmodellen in AI kunnen worden ingezet om de kosten van compute voor handelaren op schaal te subsidiëren.
Verantwoordelijk Disclosure: Alle geïdentificeerde problemen zijn gemeld aan Coinbase en Thirdweb, wat de directe noodzaak onderstreept voor een architecturale verschuiving van "ergonomische losheid" naar "rigoureuze cryptografische binding."

De auteurs concluderen dat zonder het adopteren van state-aware middleware en pessimistische locking mechanismen, de AI-economie het risico loopt haar financiële fundament te bouwen op rails die gevoelig zijn voor systemische free-riding.