Linux Foundation đã công bố việc thành lập x402 Foundation vào ngày 14 tháng 7 năm 2026, mang lại một "ngôi nhà" chính thức cho giao thức thanh toán AI-agent. Visa, Mastercard, Stripe và Google đã tham gia với tư cách là các thành viên sáng lập.
Thông báo này không đưa ra bất kỳ phương thức nào để chứng minh một yêu cầu thanh toán là xác thực. Không có bộ kiểm tra tính tuân thủ (conformance suite), không có hồ sơ bảo mật, không có chương trình chứng nhận và cũng không có quy trình xác thực. Các khung sườn đã được xác định; nhưng bằng chứng cho thấy một AI-agent thực sự nhận được quyền thanh toán thì vẫn còn thiếu.
Việc ra mắt và mảnh ghép còn thiếu
Giao thức x402 tiêu chuẩn hóa cách các AI-agent phần mềm tự hành trao đổi biên lai và bằng chứng thanh toán. Việc tiêu chuẩn hóa đó là một bước cần thiết, nhưng nó chỉ mới đáp ứng một nửa những gì một hệ thống thanh toán cần có. Trong tài chính truyền thống, một giao dịch không được chấp nhận chỉ vì định dạng thông điệp là chính xác; nó còn phải vượt qua một loạt các kiểm tra bảo mật để xác minh ý định của người thanh toán, tính xác thực của yêu cầu và tính toàn vẹn của chuỗi mã hóa.
Các tài liệu sáng lập của x402 mô tả chi tiết định dạng thông điệp, nhưng chúng lại dừng lại ở việc chỉ định định dạng mà chưa đưa ra một bộ công cụ kiểm thử (test harness) để kiểm tra xem một bản triển khai có thực thi các bước kiểm tra bảo mật bắt buộc hay không. Nếu không có một bộ kiểm thử trung lập, bất kỳ nhà cung cấp nào cũng có thể tuyên bố “chúng tôi tuân thủ đặc tả” trong khi âm thầm bỏ qua các biện pháp bảo vệ quan trọng.
Tại sao một biên lai là chưa đủ
Một biên lai thanh toán trong thế giới x402 đưa ra ba khẳng định:
- Hành động đã xảy ra.
- Hành động đã được ủy quyền.
- Các bước kiểm tra bảo mật thực sự đã được thực hiện.
Chữ ký số có thể đảm bảo khẳng định đầu tiên – chúng chứng minh rằng ai đó đã ký một bản ghi cụ thể. Tuy nhiên, chúng không có tác dụng đối với khẳng định thứ hai và thứ ba. Một kẻ tấn công có thể làm giả một biên lai trông có vẻ hợp lệ, phát lại (replay) một biên lai cũ, hoặc thao túng thời gian của các thông điệp để việc ủy quyền thực tế chưa bao giờ diễn ra. Tiêu chuẩn hiện tại không quy định cách phát hiện hoặc ngăn chặn các cuộc tấn công đó.
Một cuộc tấn công cụ thể vượt qua các bước kiểm tra tiêu chuẩn
Bài báo ShareLock gần đây (arXiv 2606.27027) đã chứng minh một loại tấn công có thể vô hình đối với một bộ phân tích (parser) vốn chỉ xác thực từng phần của biên lai một cách riêng lẻ. Các tác giả chỉ ra cách một kẻ tấn công có thể nhúng các hướng dẫn độc hại xuyên suốt nhiều mô tả công cụ khác nhau. Mỗi mô tả riêng lẻ đều vượt qua tất cả các kiểm tra cú pháp và chữ ký, nhưng khi hệ thống lắp ráp các mảnh ghép lại, hiệu ứng kết hợp sẽ tạo ra một lệnh ngầm nhằm ủy quyền thanh toán mà không có sự đồng ý của người thanh toán.
Vì đặc tả x402 chỉ yêu cầu mỗi thành phần phải được phân tích cú pháp chính xác, cuộc tấn công được mô tả trong ShareLock sẽ thành công đối với bất kỳ bản triển khai nào chỉ dựa vào các quy tắc xác thực hiện có. Vấn đề không nằm ở lỗ hổng mã hóa; mà là một lỗ hổng trong việc đảm bảo rằng yêu cầu về quyền hạn vẫn được duy trì sau khi kết hợp các thành phần.
Ai nên là người kiểm tra quyền hạn
Một tác giả giao thức không thể tự thực hiện red-team thiết kế của chính mình mà không bị định kiến, và một nhà cung cấp không thể tự chứng nhận bảo mật của chính mình mà không có một góc nhìn độc lập. Do đó, ngành công nghiệp này cần một khung kiểm thử đối kháng trung lập để:
- Thực hiện đầy đủ bộ kiểm tra tính tuân thủ đối với cách bản triển khai xử lý biên lai, chữ ký và các bước chuyển trạng thái.
- Chạy các kịch bản tấn công dựa trên mô hình đe dọa, chẳng hạn như kiểu tấn công chèn mã đa phần (multi-part injection) được ShareLock trình bày, để xác minh rằng yêu cầu về quyền hạn vẫn được duy trì khi kết hợp các thành phần.
- Chỉ cấp chứng nhận sau khi một phòng thí nghiệm độc lập đã chứng minh được rằng bản triển khai có khả năng chống lại các cuộc tấn công phát lại (replay), làm giả (forgery) và mất đồng bộ (desynchronisation).
Việc ra mắt x402 đã để trống lớp đó ngay từ ngày đầu tiên. Nếu không có một bộ kiểm thử của bên thứ ba, bất kỳ tuyên bố “tuân thủ” nào cũng có thể chỉ đơn giản có nghĩa là “vượt qua kiểm tra cú pháp.”
Bài học rút ra
Giao thức x402 hiện đã có một "ngôi nhà", nhưng nếu không có một khung kiểm thử bảo mật và tuân thủ trung lập với nhà cung cấp, quyền hạn đằng sau mỗi giao dịch thanh toán vẫn sẽ không được xác minh. Cho đến khi một tổ chức độc lập có thể chứng minh rằng khẳng định “đã được ủy quyền” của một biên lai có thể tồn tại trước các cuộc tấn công trong thế giới thực, lời hứa về thương mại AI-agent an toàn sẽ vẫn nằm ngoài tầm với.