x402 Agent 支付 SDK 漏洞：消费不设上限与静默修复

安全公司 V12 于 10 月 22 日发布对 x402 Agent 支付协议代码库的审查，报告 25 个漏洞，其中 3 个为严重级别。最严重的发现是，在 2026 年 8 月修复前，x402 默认支付客户端不设任何消费上限，会接受服务器给出的第一个支付选项，由服务器决定金额、代币、收款方和网络，恶意 API 可要求自动签名的 Agent 支付钱包中某代币的全部余额。3 个严重漏洞已于 8 月 18 日发布修复、8 月 20 日确认修复，但截至 10 月 23 日 x402 Foundation 未发布安全公告，变更日志也未将其标注为安全修复，因此 npm audit 与 PyPI 漏洞清单未标记出最后一个易受攻击版本。