给 agent 管钱包的 SDK，被挖出 25 个洞

让 AI 智能体自己付钱，最怕的不是它乱花钱，是它被人带着签出全部余额。安全公司 V12 在 10 月披露的 25 个漏洞，恰好都打在这个软肋上。

一、发生了什么

据 Aviatrix 威胁研究中心 10 月 23 日刊发的分析，V12 在 x402 开源 SDK 里累计披露 25 个漏洞，其中 3 个评为严重。x402 是 Coinbase 发起的支付协议，现由 Linux 基金会旗下组织治理，让智能体调用 API 时自动完成加密货币微支付，持卡组织层面的支持不少。三个严重洞里最要命的是默认没有支出上限：攻击者架一个恶意 API 端点，返回伪造的 402 付费响应，报一个虚高金额；先用小额支付探到智能体的钱包地址和余额，再诱导它签下整包支付授权——客户端默认自动签署、无需人工审批，整个钱包就没了。另两个严重洞分别在 Solana 支付路径（可被零代币绕过）和跨站登录签名中继（可冒充钱包身份登第三方服务）。受影响的是 2.23.0 之前的所有版本，覆盖 TypeScript、Python、Go 三种客户端。

披露方把这件事定性为"系统性披露缺口"：8 月 18 日的版本发布里，三个严重洞就悄悄修掉了，更新日志只字未提安全属性，npm 和 PyPI 上没有任何告警，也没分配漏洞编号。也就是说，过去两个多月里，生产环境里挂着旧版本的团队对此一无所知，靠的只能是自己读提交记录。V12 报告发布后，这批问题才第一次以完整清单的形式出现在公众视野里。

二、跟你有什么关系

• 给智能体接了支付能力的团队：查依赖版本，低于 2.23.0 立即升，升级之外还要补支出上限和人工审批。
• 做智能体平台的产品经理：默认自动签署加默认无限额，这个组合本身就是设计事故，选型时当反面教材。
• 安全研究员：这批漏洞 8 月 18 日就随版本发布静默修复，无编号、无公告、无包管理器警告，值得写成案例。

三、怎么判断

1. 锁定依赖版本到 2.23.0 以上，移除更早的引用，三条语言线都要查。
2. 给每个智能体设单笔和周期支出上限，关键账户留人工确认环节。
3. 用出口策略限制智能体能访问的外部端点，恶意 API 进不来，后面的戏就唱不了。
4. 复盘权限设计：自动签署适合小额高频场景，大额支付走人审，别用同一套策略通吃。

四、三个别信的说法

修复了就没风险。 截至披露日尚无确认的资金损失，但存量部署里旧版本还挂着，不升级等于洞还开着。

有 CVE 才需要管。 这次修复没有任何公开编号和公告，靠等通报的团队到现在都不会知道自己受过影响。

小额试付是正常探测。 攻击者正是拿小额支付摸你的余额，看到不明 402 响应触发的扣款，就该警惕。

大机构背书等于安全。 协议背后站着发起方和多家支付巨头，但漏洞出在客户端 SDK 的实现层，牌越大，接入的团队越多，波及面反而越大。

五、一句话结论

智能体的钱包不能比人手快，支出上限和审批环节一个都不能省。

信息来源

• x402 SDK 严重缺陷：恶意 API 可抽干智能体的代币余额（Aviatrix 威胁研究中心） 2026-10-23

功能与价格以官方公告为准。本文写于 2026 年 10 月 24 日。