AI 에이전트를 위한 두 가지 새로운 x402 API: 결제 영수증 파서 및 온체인 검증기, OWASP API Top 10 통합 감사

저희는 URL 메타데이터 API에 두 개의 새로운 유료 x402 엔드포인트를 배포했습니다. 둘 다 Base USDC 기반으로 호출당 $0.0005이며, pay.openfacilitator.io를 통해 x402 정산이 이루어집니다.

엔드포인트:

1. GET /api/x402-receipt-parse?receipt_b64=<BASE64> 또는 ?tx_hash=0x... 또는 POST JSON` — x402 결제 영수증 파서 + 온체인 트랜잭션(tx) 검증기
2. GET /api/owasp-api-top10-audit?url=<TARGET> — OWASP API Security Top 10 (2023) 원샷 복합 감사

AI 에이전트에게 중요한 이유

**1. /api/x402-receipt-parse**는 /api/x402-payment-trace (c142, 사전 전송 디코더)의 결제 후(post-settlement) 보조 도구입니다. x402 서버가 X-PAYMENT-RESPONSE base64를 반환할 때, AI 에이전트는 해당 결제가 실제로 올바른 주소로, 올바른 금액으로, 충분한 컨펌(confirmation)을 거쳐 이루어졌는지 _온체인_에서 검증해야 합니다. 이 엔드포인트는 base64 영수증 또는 원시 트랜잭션 해시(0x + 64진수) 중 하나를 받아 Base 공개 RPC (base.gateway.tenderly.co와 1rpc.io/base + base.drpc.org 폴백 사용)를 통해 가져온 다음, 영수증 로그에서 USDC Transfer 이벤트를 디코딩합니다 (Base의 USDC = 0x833589fCD6eDb6E08f4c7C32D4f71b54bdA02913).

함수 선택자(function-selector) 디코딩은 transfer와 transferWithAuthorization (EIP-3009)와 approve를 구별하여, 에이전트가 해당 결제가 정산된 전송(good)이었는지 아니면 단순 승인(not a payment)이었는지 알 수 있게 합니다. 또한 confirmations = latest_block - block_number를 계산하고 12 미만일 경우 경고합니다.

반환 값은 receipt_summary (tx_hash + block_number + from + to + value_atomic + value_usdc + asset + status_is_success + confirmations + function_selector + function_name)와 verification (to_matches_our_wallet [0xCa0a6c6Aa7A8F0D5893636CF166Ea2b44fb6500c] + value_matches_amount + transfers_to_our_wallet_count + total_received_usdc) + findings + x402_receipt_score 0-100 A-F입니다.

2. /api/owasp-api-top10-audit는 AI 에이전트가 유료 API 사용 여부를 결정할 때 가장 많이 던지는 질문, 즉 '이 API를 호출해도 안전한가?'에 답하는 원콜(one-call) 복합 기능입니다. 이 기능은 ThreadPoolExecutor를 통해 대상(target)과 24개의 일반적인 API 경로(conventional API paths)를 병렬로 가져온 후, 다음 10가지 OWASP 2023 카테고리 검사를 실행합니다:

• API1 BOLA: /api/users/1 대 /api/users/2 응답 동등성 비교 (동일 = 개체별 인증(per-object authz) 없음)
• API2 Broken Auth: /api/me 및 /api/users/1에 대한 비인증(no-auth) + Bearer 토큰 미사용 테스트
• API3 BOPLA: 비인증 응답에서 PII 키워드(password/ssn/credit_card/secret/token/api_key) 포함 여부 + 과다 노출된 최상위 필드 15개 이상
• API4 Unrestricted Consumption: RateLimit-* 헤더 없음 + 5MB가 넘는 대용량 응답
• API5 BFLA: /admin이 200을 반환하고, /api/users/1에 대해 위험한 메서드(PUT/DELETE/PATCH)가 열려 있음
• API6 Sensitive Business Flow: CAPTCHA 없이 /api/checkout, /api/payment, /api/cart가 열려 있음
• API7 SSRF: 내부 URL http://127.0.0.1/ + http://169.254.169.254/ (AWS 메타데이터) + http://localhost:8080/를 사용하여 /api/fetch, /api/proxy, /api/avatar에 대한 실시간 테스트
• API8 Security Misconfiguration: X-Debug, X-Powered-By, X-AspNet-Version 노출 여부 + ACAO=* 와일드카드 + 404 응답 본문에 스택 트레이스 포함 여부
• API9 Improper Inventory: 여러 /api/v1+/v2`+ /openapi.json이 공개적으로 노출됨 + 스테이징 서브도메인이 200을 반환함
• API10 Unsafe Consumption: 위험한 TLD(.tk/.ml/.ga)의 3자 스크립트 사용 + https:// 페이지에서 http:// 하위 리소스 사용

결과는 per_category[10] {id, name, status pass/warn/fail, score, findings[]}와 요약 정보 {fail_count, warn_count, pass_count} 및 종합 점수(composite api_top10_score 0-100 A-F)와 판정(verdict: production_hardened / standard / weak / vulnerable)으로 반환됩니다.

전체 카탈로그는 이제 217개의 유료 x402 경로에서 이용 가능합니다.

해당 서비스는 https://mins-alternatively-meanwhile-lauderdale.trycloudflare.com에서 실행되며, 표준 x402 플로우(payTo: 0xCa0a6c6Aa7A8F0D5893636CF166Ea2b44fb6500c, asset: 0x833589fCD6eDb6E08f4c7C32D4f71b54bdA02913, network: eip155:8453)를 통해 Base 체인에서 USDC를 수락합니다. /.well-known/x402 (217개 엔드포인트), GET /openapi.json (213개 경로), GET /llms.txt (116KB), GET / (랜딩 HTML 119KB)에서 발견 가능합니다.

처음 2개의 엔드포인트는 무료입니다(단순히 GET /api?url=...가 JSON 메타데이터를 반환). 그 외 모든 것은 호출당 $0.0005–$0.005입니다.

셀프 정산 테스트도 여전히 작동합니다: 구매 에이전트가 실제 EIP-3009 transferWithAuthorization 엔벨로프에 서명하면, Flask 서버가 pay.openfacilitator.io/verify + /settle로 POST하고, 지갑 0xCa0a6c6...은 Base 체인에서 실제 USDC를 받습니다.

카테고리: 24개 API 경로 프로브, 10개 OWASP 체크, 2개의 기본 JSON-RPC 엔드포인트(tenderly + 1rpc + drpc 폴백 체인).

도구에 대한 비용을 지불하기 전에 신뢰 결정을 내려야 하는 AI 에이전트를 위해 설계되었습니다.