💻 computer science

Free-Riding in the AI Economy: Demystifying Logic Flaws in x402-Enabled Payment Systems

本文对 x402 协议进行了首次全面的安全性分析，揭示了诸如签名设计缺陷和竞态条件等关键漏洞，这些漏洞会导致 AI 驱动型支付系统中的搭便车行为和资源泄漏，并提出了用于保障机器对机器交易安全的架构缓解方案。

原作者： Shengchen Ling, Yihang Huang, Yuan Chen, Yajin Zhou, Lei Wu, Cong Wang

发布于 2026-06-01

📖 1 分钟阅读☕ 轻松阅读

原作者： Shengchen Ling, Yihang Huang, Yuan Chen, Yajin Zhou, Lei Wu, Cong Wang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一个繁忙的数字市场，机器人（AI 代理）正在以闪电般的速度互相买卖服务。这里没有收银员或人类经理；它们只是互相交谈并瞬间交换数字代币。为了让这一切运转起来，一种名为 x402 的新系统被发明了。它就像是一个通用的“付费进入”告示牌，机器人可以自动读取并遵守。

然而，这篇论文是一份安全报告，它指出：“这个市场的锁坏了。”

研究人员发现，由于该系统试图追求过快的速度和过高的灵活性，它在机器人“承诺支付”与“资金实际到达”之间创造了一个“间隙”。这个间隙允许不法分子通过欺骗系统来免费获取服务。

以下是这种“免费搭便车”（Free-Riding）行为的四种主要方式，使用简单的类比进行说明：

1. “错票”问题 (跨资源替代 - Cross-Resource Substitution)

类比： 想象你买了一张电影《黑客帝国》的票。票上写着：“单次入场，10 美元。”但电影院的保安只检查价格（10 美元），而没有检查电影名称。
缺陷： 一个黑客买了一张便宜电影（《黑客帝国》）的票，却走向了昂贵电影（《沙丘》）的 VIP 休息室入口。保安看到那张 10 美元的票，点了点头，便放行了。
现实情况： 在 x402 系统中，机器人用于支付的数字“签名”并没有严格规定它是在为哪项特定服务付费，而只规定了支付的“金额”和“对象”。黑客可以拿一个用于廉价 API 调用的有效支付证明，去解锁一项昂贵的优质 AI 服务。系统接受了钱，但交付了错误且更有价值的产品。

2. “双重预订”问题 (概率性服务重复 - Probabilistic Service Duplication)

类比： 想象一家前台办理速度非常慢的酒店。你走上前说：“我有预订。”店员查了一下电脑，看到你的名字显示正常，便说：“太好了，请去您的房间吧！”
就在店员还在向主账本录入信息时，你跑回前台带着一个朋友说：“我也有一个预订！”因为店员还没完成第一个人的录入，电脑看起来仍然显示“空闲”。于是你们两个人都拿到了房卡，但酒店只收了一份钱。
缺陷： x4-02 系统会检查支付是否有效（“检查”环节），但它不会立即锁定该交易以防止他人使用（“锁定”环节）。黑客可以在一秒钟内发送 20 次相同的支付请求。由于服务器运行极快，它会在区块链（主账本）有时间发出“等等，那个支付已经被使用过了！”的指令之前，就对所有 20 个请求都回答“是”。结果，商家交付了 20 次服务，却只收到了一次的钱。

3. “空白支票”问题 (额度超支 - Allowance Overdrafts)

类比： 想象你给服务员一张限额 100 美元的信用卡，并说：“随你点吧，只要别超过 100 美元就行。”服务员开始点昂贵的牛排。
问题在于，服务员在银行有时间检查你是否真的有钱之前，就已经点了 10 份牛排。当银行试图扣款时，你已经花了 500 美元。银行拒绝了扣款，但服务员已经把食物端上来了。你免费得到了食物，而餐厅承担了损失。
缺陷： 在 AI 世界中，任务的成本直到完成后才知道。黑客设置了一个刚好能通过快速检查的“消费限额”（Allowance）。随后，他们触发大规模、高昂的 AI 任务。系统因为检查通过而立即开始工作，但等到最终账单计算出来时，黑客的支出已经超过了他们的限额。区块链拒绝了支付，但 AI 已经完成了工作。

4. “交通堵塞”问题 (结算拒绝 - Denial of Settlement)

类比： 想象一个每分钟只能处理 10 辆车的收费站。一名黑客一次性发送了 50 辆车通过闸门。闸门为所有 50 辆车都打开了，因为“进入”检查非常快。但在车辆尝试在末端支付时，收费站被淹没了，只能处理 10 辆。剩下的 40 辆车直接开车溜走了，没有付钱。
缺陷： 该系统对每秒能处理的支付数量有限制。黑客用大量请求淹没系统。服务器向所有请求交付了服务，因为“进入”很快，但“支付”端却堵塞了。服务器最终会因为无法处理得足够快来发出“拒绝”指令，从而导致交付了免费服务。

宏观图景：为什么这很重要

论文认为，x402 系统试图同时做两件并不兼容的事情：

Web 速度： 即时的、“信任我”式的交互（类似于 HTTP 请求）。
区块链安全性： 缓慢的、“先验证一切”式的安全性（类似于区块链的最终确定性）。

通过试图架起这两者之间的桥梁，该系统创造了一个“时间间隙”。在这个间隙中，不法分子可以溜进来。

提出的修复方案

作者提出了几种修复方法，本质上是告诉系统要更加谨慎：

将票券与特定座位绑定： 确保数字签名明确说明了正在购买的是哪项具体服务，而不只是价格。
在账本上挂出“请勿打扰”的牌子： 当正在检查一项支付时，立即将其锁定，直到确认为止，以免他人使用。
在账单结清前不要上菜： 对于 AI 任务，不要在支付真正确认之前向用户传输结果。如果支付失败，用户将什么也得不到。
检查收费站的容量： 如果支付系统过于繁忙，根本不要让车辆进入。

简而言之： 这篇论文揭示了目前 AI 代理的“经济轨道”充满了可以窃取服务的漏洞。要修复这个问题，我们需要停止对支付过于乐观，转而开始更安全地锁定各项操作，即使这会让速度稍微变慢一些。

技术摘要：AI 经济中的“搭便车”现象

1. 问题陈述

智能体对智能体（A2A）经济的兴起，需要能够处理高频、自主交易的程序化金融轨道。x402 协议已成为机器间支付的事实标准，它利用 HTTP 402 “需要付款”（Payment Required）状态码，将加密支付指令直接嵌入应用层请求中。

然而，x402 的工程化落地引入了一个根本性的架构失调：它试图将同步、瞬时的 HTTP 请求-响应周期与异步、概率性的区块链最终性进行桥接。本文认为，当前的 x402 生态系统实现未能通过这种状态同步差距来强制执行关键的安全不变性（Security Invariants）。具体而言，验证（链下）与结算（链上）之间的解耦创造了竞态条件和语义歧义，导致攻击者可以进行“搭便车”（Free-riding），迫使商家补贴计算成本，并使系统面临系统性经济剥削。

2. 研究方法

作者采用了一种结合形式化建模与经验验证的严谨安全分析框架：

形式化系统建模： 将支付工作流建模为一个涉及四个实体（消费者 $S$ 、商家 $M$ 、促进者 $F$ 和区块链 $B$ ）的状态转换系统。
安全不变性： 作者定义了五个必须由安全实现所遵循的基本安全不变性：
1. 支付完整性 (I1)： 交付意味着已确认链上结算。
2. 价值一致性 (I2)： 交易价值必须满足资源定价逻辑。
3. 上下文绑定 (I3)： 支付授权必须在加密层面与特定的资源标识符绑定。
4. 授权唯一性 (I4)： 支付随机数（Nonce）必须被且仅被使用一次。
5. 执行守恒性 (I5)： 除非支付已得到保障，否则不得启动显著的计算工作。
漏洞分析： 作者分析了协议规范，并审计了官方 SDK（TypeScript、Python、Java、Go）以及活跃的中间件部署（Thirdweb、Coinbase）。
经验验证： 在多个测试网（Base Sepolia、Solana Devnet、Arbitrum Sepolia）上进行了受控实验，并针对官方部署进行测试，以量化已识别攻击的成功率。

3. 关键发现与漏洞

分析表明，当前的实现系统性地违反了定义的上述不变性，导致了三类主要漏洞：

A. 跨资源替换（违反 I3）

机制： x402 协议设计依赖于 EIP-712 签名，该签名将资金与商家地址绑定，但对于特定的资源标识符（ $ID_r$ ）是上下文无关的。
缺陷： 官方 SDK 未能在加密层面将签名与 HTTP 请求上下文（URI、方法、正文）进行绑定。
利用方式： 攻击者可以为低价值或不受限的资源（ $r_A$ ）生成有效的支付签名，并将其替换用于访问另一个高价值或受限的资源（ $r_B$ ），只要两者价格相同。
结果： 在实验中，这导致了 100% 的资源交换成功率。在并发场景下，这实现了“服务复制”，即单次支付即可解锁多个资源。

B. 概率性服务复制（违反 I4）

机制： 在随机数（Nonce）的链下验证与链上结算之间存在“检查时至使用时”（TOCTOU）的竞态条件。
缺陷： 促进者的验证逻辑是无状态且只读的；它不会锁定随机数。
利用方式： 攻击者同时发送 $N$ 个带有相同签名载荷的请求。在第一个线程成功更新区块链状态之前，多个服务器线程会同时验证该随机数为“未使用”。
结果： 商家交付了 $N$ 次服务，但只有一笔交易在链上结算。在 Base Sepolia 测试网上的实验表明，存在 6% 的服务复制成功率，这为高频 AI 智能体带来了可扩展的套利风险。

C. AI 特有的状态漂移（违反 I2 和 I 5）

在 AI 推理领域，转向动态定价（使用“最高限额”授权方案）加剧了这些漏洞：

额度超支： 由于 LLM 推理的成本在完成前是未知的，商家必须验证一个支出上限（ $V_{max}$ $V_{ma x}$ ）而非精确金额。攻击者利用缺乏对额度的原子锁定的漏洞，通过发起 $N$ $N$ 个并发请求，使得 $\sum v_i \gg V_{max}$ $\sum v_{i} ≫ V_{ma x}$ ，从而消耗所有请求的资源。虽然区块链会回滚超额交易，但商家已经交付了计算输出。
- 影响： 实验显示，泄漏率 ( $\rho$ ) 高达 97.76%，这意味着攻击者获得了近乎 100% 的计算资源，却仅支付了极小部分的费用。
结算拒绝： 攻击者可以用超过促进者结算速率限制（例如 10 tx/s）的有效请求淹没系统。验证层接受了突发请求，商家交付了服务，但结算 API 拒绝了多余的交易。
- 影响： 在极端情况下，这导致了 100% 的泄漏率，即商家提供了完整的服务却未获得任何支付。

4. 拟议的缓解措施

论文提出了四种层级化的防御策略，以恢复安全不变性：

加密上下文绑定： 扩展 EIP-712 模式，将完整 HTTP 请求（方法、URI、正文）的哈希包含在签名中。这消除了语义差距，使得签名在重放至不同资源时失效。
有状态的随机数线性化： 在促进者层面实现基于分布式锁（如 SETNX）的“检查并设置”（Check-and-Set）模型。这确保了即使多个线程验证了同一个随机数，也只有第一个获取锁的线程才能进行结算，从而消除竞态条件。
悲观资源交付：
- 延迟交付： 将 AI 推理输出缓冲，直到结算确认。这抵消了盗取行为的经济动机（如果支付失败，攻击者将拿不到数据）。
- 两阶段锁定： 对于高风险场景，在执行前将最大限额转移至托管合约，以实现额度检查的原子化。
- 加密经济抗恶意行为： 要求智能体质押“燃气保证金”（Gas Bond）以覆盖潜在的结算回滚，如果智能体试图进行恶意行为，则扣除其质押。
失效关闭设计（Failure-Closed Design）： 将速率限制和计费检查与请求入口同步。如果结算能力超出限制，应立即拒绝请求（429），而不是处理并免费交付。

5. 重要性与主张

本文声称是 x402 生态系统首个全面的安全分析。其重要性在于：

识别系统性风险： 它证明了 Web 协议与区块链之间的架构失调不仅仅是一个实现层面的 Bug，而是一个破坏智能体网络经济信任模型的结构性缺陷。
形式化安全不变性： 它建立了一个用于保护混合智能体系统的形式化框架（五大不变性），为未来的协议设计提供了基准。
揭示“搭便车”威胁： 它量化了当前 AI 中的动态定价模型如何被武器化，从而迫使商家大规模补贴计算成本，威胁 AI 经济的可持续性。
负责任的披露： 所有识别出的问题均已向 Coinbase 和 Thirdweb 披露，强调了从“易用性宽松”转向“严谨加密绑定”进行架构转变的紧迫性。

作者总结道，如果不采用具备状态感知能力的中间件和悲观锁定机制，AI 经济面临着在其易于遭受系统性“搭便车”行为的轨道上构建金融基础的风险。