Linux Foundation 于 2026 年 7 月 14 日宣布成立 x402 基金会，为 AI 智能体支付协议提供了官方归宿。Visa、Mastercard、Stripe 和 Google 已签署成为创始成员。
该公告并未提供任何证明支付声明真实性的方法。目前既没有一致性测试套件，也没有安全规范、认证计划或验证程序。规则虽然已经定义，但证明智能体确实获得了支付授权的环节却缺失了。
发布会与缺失的一环
x402 协议标准化了自主软件智能体交换收据和支付凭证的方式。这种标准化是必要的一步，但它仅完成了支付系统所需功能的一半。在传统金融中，一笔交易之所以被接受，不仅仅是因为消息格式正确；它还必须通过一系列安全检查，以验证付款人的意图、请求的真实性以及加密链的完整性。
x402 创始文档详细描述了消息格式，但并未规定用于检查实现过程是否执行了所需安全检查的测试框架（test harness）。如果没有中立的测试套件，任何供应商都可以在悄悄省略关键防护措施的同时，声称“我们遵循规范”。
为什么仅凭收据是不够的
x402 世界中的支付收据提出了三个声明：
- 动作已发生。
- 动作已获得授权。
- 安全检查确实已运行。
数字签名可以保证第一个声明——它们证明了有人签署了特定的记录。但对于第二个和第三个声明，它们无能为力。攻击者可以伪造看起来有效的收据、重放旧收据，或者操纵消息的时间戳，使得底层的授权从未发生。目前的标准并未规定如何检测或防止这些攻击。
一种能绕过标准检查的具体攻击
最近的 ShareLock 论文 (arXiv 2606.27027) 展示了一类攻击，对于仅隔离验证收据各部分的解析器来说，这类攻击是不可见的。作者展示了攻击者如何将恶意指令嵌入到多个工具描述中。每个单独的描述都能通过所有的语法和签名检查，但当系统将这些碎片组合在一起时，其产生的复合效果就是一个隐蔽的命令，在未经付款人同意的情况下授权了支付。
由于 x402 规范仅要求每个组件都能正确解析，因此 ShareLock 中描述的攻击对于任何仅依赖现有验证规则的实现都将奏效。问题不在于密码学本身的缺陷，而在于无法确保授权声明在组合过程中依然有效。
谁应该来测试授权
协议作者无法在没有偏见的情况下对自己的设计进行红队测试，供应商也无法在缺乏独立视角的情况下对其安全性进行认证。因此，行业需要一个中立的、对抗性的测试框架，该框架能够：
- 针对实现方案对收据、签名和状态转换的处理，执行全套一致性测试。
- 运行基于威胁模型的攻击场景（例如 ShareLock 展示的多部分注入攻击），以验证授权声明在组合下是否依然成立。
- 仅在独立实验室证明该实现能够抵御重放、伪造和不同步攻击后，才颁发认证。
x402 的发布从第一天起就让这一层处于空白状态。如果没有第三方测试套件，任何“合规”的说法可能仅仅意味着“通过了语法检查”。
总结
x402 协议现在有了归宿，但如果缺乏厂商中立的一致性和安全性测试框架，每笔支付背后的授权仍然无法得到验证。在独立机构能够证明收据的“已授权”声明能够经受住现实世界攻击之前，安全 AI 智能体商业化的承诺将难以实现。