A Linux Foundation anunciou a criação da x402 Foundation em 14 de julho de 2026, dando ao protocolo de pagamento para agentes de IA um lar oficial. Visa, Mastercard, Stripe e Google assinaram como membros fundadores.
O anúncio não ofereceu nenhuma forma de provar que uma reivindicação de pagamento é genuína. Não há um conjunto de conformidade, nem um perfil de segurança, nem um programa de certificação e nem um procedimento de validação. Os trilhos estão definidos; falta a prova de que um agente realmente recebeu autoridade para pagar.
O lançamento e a peça que falta
O protocolo x402 padroniza como agentes de software autônomos trocam recibos e evidências de pagamento. Essa padronização é um passo necessário, mas é apenas metade do que um sistema de pagamento precisa. Nas finanças tradicionais, uma transação não é aceita apenas porque o formato da mensagem está correto; ela também deve sobreviver a uma bateria de verificações de segurança que validam a intenção do pagador, a autenticidade da solicitação e a integridade da cadeia criptográfica.
Os documentos fundadores do x402 descrevem o formato da mensagem em detalhes, mas param antes de especificar um ambiente de testes que verifique se uma implementação aplica as verificações de segurança necessárias. Sem um conjunto de testes neutro, qualquer fornecedor pode alegar que "segue a especificação" enquanto omite silenciosamente salvaguardas cruciais.
Por que um recibo não é suficiente
Um recibo de pagamento no mundo x402 faz três afirmações:
- A ação ocorreu.
- A ação foi autorizada.
- As verificações de segurança foram realmente executadas.
Assinaturas digitais podem garantir a primeira afirmação – elas provam que alguém assinou um registro específico. Elas não fazem nada pelas segunda e terceira afirmações. Um invasor pode forjar um recibo que pareça válido, repetir um recibo antigo ou manipular o tempo das mensagens para que a autorização subjacente nunca tenha ocorrido. O padrão atual não prescreve como detectar ou prevenir esses ataques.
Um ataque concreto que passa pelas verificações padrão
O recente artigo ShareLock (arXiv 2606.27027) demonstra uma classe de ataques que seriam invisíveis para um parser que apenas valida cada parte de um recibo isoladamente. Os autores mostram como um adversário pode incorporar instruções maliciosas em várias descrições de ferramentas. Cada descrição individual passa por todas as verificações sintáticas e de assinatura, mas quando o sistema monta as peças, o efeito combinado é um comando oculto que autoriza um pagamento sem o consentimento do pagador.
Como a especificação x402 exige apenas que cada componente seja processado corretamente, o ataque descrito no ShareLock teria sucesso contra qualquer implementação que dependa apenas das regras de validação existentes. O problema não é uma falha na criptografia; é uma lacuna na garantia de que a reivindicação de autoridade sobrevive à composição.
Quem deve testar a autoridade
Um autor de protocolo não pode realizar um red-team de seu próprio design sem viés, e um fornecedor não pode certificar sua própria segurança sem uma perspectiva independente. A indústria, portanto, precisa de uma estrutura de testes adversariais e neutra que:
- Executa o conjunto completo de testes de conformidade contra o tratamento de recibos, assinaturas e transições de estado de uma implementação.
- Executa cenários de ataque baseados em modelos de ameaças, como a injeção de múltiplas partes mostrada pelo ShareLock, para verificar se a reivindicação de autoridade se mantém sob composição.
- Emite certificações apenas depois que um laboratório independente demonstrar que a implementação resiste a ataques de repetição (replay), falsificação e dessincronização.
O lançamento do x402 deixou essa camada vazia desde o primeiro dia. Sem um conjunto de testes de terceiros, qualquer afirmação de "em conformidade" poderia significar simplesmente "passa em uma verificação de sintaxe".
Conclusão
O protocolo x402 agora tem um lar, mas sem uma estrutura de testes de segurança e conformidade neutra em relação aos fornecedores, a autoridade por trás de cada pagamento permanece não verificada. Até que um órgão independente possa provar que a afirmação de "autorizado" de um recibo sobrevive a ataques do mundo real, a promessa de um comércio seguro para agentes de IA permanecerá fora de alcance.