По данным компании по кибербезопасности V12, 22 октября было объявлено о серьезной уязвимости в SDK x402, которая может позволить вредоносным API исчерпать баланс токенов AI-агентов. Проблема заключается в том, что AI-агенты, использующие SDK для оплаты вызовов API, могут подписывать платежи на полную сумму баланса поддерживаемого токена, если злоумышленный API этого запросит.

Основной причиной данной уязвимости является то, что стандартный клиент SDK не устанавливал лимиты на расходы до выхода обновлений 18 августа, которые добавили такую функциональность. Это создает риски для тех агентов, которые автоматически подписывают платежи, а также для приложений, которые не настроены на ограничение трат.

Эксперты V12 подчеркивают, что уязвимость затрагивает только те AI-агенты, которые работают в автоматическом режиме и не имеют механизма контроля за расходами. В результате, если такие агенты взаимодействуют с вредоносными API, они могут потерять весь свой токеновый баланс за короткий срок.

Разработчики и пользователи SDK x402 должны обратить внимание на эту уязвимость и обновить свои приложения, чтобы установить лимиты на расходы. Также рекомендуется проводить регулярные проверки безопасности и использовать дополнительные механизмы защиты при работе с API.

Данная ситуация подчеркивает важность обеспечения безопасности в области искусственного интеллекта и необходимости учитывать риски при взаимодействии с внешними API. Безопасность токенов и управление финансами AI-агентов должны стать приоритетом для разработчиков и организаций, использующих такие технологии.

Источник новости:
The Hacker News

Читать полностью