import { Client } from

**동적 `payTo` 스왑(swap) → 이를 포착하세요.** 당신은 지불하고자 	extit{의도한} 상대방(counterparty)을 알고 있습니다. 또한 엔드포인트가 실제로 반환한 `payTo` 값도 가지고 있습니다. 만약 두 값이 다르다면, 그것은 V2 스왑 공격(swap attack)이며, 단 한 줄의 비교로 확인할 수 있습니다:

이것은 단일 항목 중 가장 가치 있는 로컬 체크(local check)입니다. 왜냐하면 스왑은 코드를 검토하는 인간에게는 보이지 않기 때문입니다. 이는 오직 런타임(runtime)에, 요청(request)마다 발생합니다.

**과다 청구(Overcharging) → 정책(policy)으로 포착하세요.** 시장 데이터 없이는 임의의 엔드포인트에 대한 "적정" 가격을 알 수 없지만, 	extit{자신만의} 한계치는 확실히 알고 있습니다. 호출당 상한선(per-call ceiling)과 자산 허용 목록(asset allowlist)은 결정론적(deterministic)이며 오프라인에서 작동합니다:

이 방식이 2달러짜리 호출이 0.05달러여야 한다는 사실을 알려주지는 않습니다. 하지만 악의적인 `402` 응답이 말하는 대로 에이전트가 조용히 400달러를 지불하는 것은 	extit{반드시} 막아줄 것입니다. 과다 청구로 인한 대부분의 피해는 단순히 지출 한도(spending limit)가 없기 때문에 발생합니다.

**보안되지 않은 전송(Insecure transport) → 이를 포착하세요.** 결제 주소를 포함한 견적(quote)이 `http://`를 통해 전달되었다면, 도착했을 때 해당 주소는 신뢰할 수 없습니다. 해당 주소에 따른 동작을 거부하세요:

여기에 기본적인 위생 관리 사항을 추가하자면, 상대방(counterparty)이 제대로 형성된 주소인지 확인하는 것입니다. 잘못된 형식의 상대방 주소는 버그이거나 탐색(probe) 시도이며, 어느 쪽이든 지불해서는 안 됩니다. (Lite는 또한 로컬 시드 차단 목록(seed blocklist)을 실행합니다. 이는 알려진 악성 주소에 대한 오프라인 체크이며, 실시간으로 지속 업데이트되는 목록은 여기서 유일하게 호스팅된 서비스에 속하는 항목입니다.)

이는 단 하나의 토큰이 이동하기 전에 실행되는 몇 가지 결정론적 (deterministic) 체크이며, 모두 [하나의 파일](https://github.com/Jiangw2718i/frisk/blob/main/typescript/src/lite.ts)에서 읽을 수 있는 코드 내에서 이루어집니다. 신뢰해야 할 별도의 서비스도 없습니다. 이것은 모든 x402 에이전트가 갖추어야 할 최소한의 기준이며, 제가 이를 무료이자 MIT 라이선스로 공개한 이유는 이것이 저를 포함한 그 누구의 API 뒤에 숨겨져 있어서는 안 되기 때문입니다.

## 로컬에서 포착할 수 없는 것들 — 그리고 솔직한 고백

벡터 4와 5 — **시빌 탐지 (Sybil discovery)** 및 **프롬프트 인젝션을 통한 결제 (prompt-injection-to-payment)** — 는 성격이 다릅니다. 로컬에서 실행되는 함수는 특정 주소가 시빌 클러스터 (Sybil cluster)에 속해 있는지, 혹은 깨끗해 보이는 이력을 가진 엔드포인트가 일주일 동안 조용히 지갑을 털어왔는지 진정으로 알 방법이 없습니다. 이를 위해서는 많은 에이전트에 걸쳐 누가 누구에게 지불했는지를 나타내는 그래프이자, 시간이 흐르며 축적된 _평판 데이터 (reputation data)_가 필요합니다. 그 어떤 영리한 오프라인 코드도 이를 대체할 수는 없습니다.

그리고 위 논문들이 실제로는 대부분의 페이지를 할애하고 있는 세 번째 카테고리가 있는데, 이는 라이트(lite) 버전이든 호스팅된 버전이든 그 어떤 스크리닝 라이브러리도 해결할 수 있다고 주장해서는 안 되는 영역입니다. 바로 **프로토콜 및 결제 계층 공격 (protocol- and settlement-layer attacks)** 입니다. 결제 재전송 (Payment replay), 결제가 확정되기 전에 서버가 서비스를 먼저 제공하는 결제 경합 (settlement races) (이는 _Five Attacks_ 논문의 핵심인 "결제되었으나 거부됨" 및 "결제되지 않은 서비스" 결과에 해당합니다), 중개자 신뢰 문제, 그리고 엔드포인트를 겨냥한 경제적 DoS 공격 등이 이에 속합니다. 이러한 문제들은 에이전트가 서명하려는 요청(request)이 아니라, x402 명세(spec), 중개자(facilitator), 그리고 온체인 결제 경로(on-chain settlement path)에 존재합니다. Frisk는 _거래 상대방과 트랜잭션의 형태_를 스크리닝할 뿐이며, 그 밑단의 프로토콜을 수정할 수는 없고 수정해서도 안 됩니다. 따라서 이 포스트는 결제 전 체크(pre-payment check)가 실제로 다룰 수 있는 벡터들로 의도적으로 범위를 제한했습니다. 스크리닝 호출이 재전송이나 원자성(atomicity) 결함을 해결할 수 있다고 가장하는 것은, 에이전트 결제 보안이 과장되는 방식의 나머지 절반을 따르는 것과 같습니다.

따라서 `lite` 모드는 이 점을 솔직하게 밝힙니다. 이 모드는 항상 "낮음 (low)" 신뢰도를 보고하며, Sybil 공격을 탐지한다고 주장하지 않습니다. 로컬 체크(local check)가 평판 문제(reputation problem)를 포착할 수 있다고 가장하는 것은 잘못된 신뢰를 배포하는 방식이며, 이는 아예 체크를 하지 않는 것보다 더 나쁩니다.

이것이 오픈 소스 라이브러리와 호스팅 서비스(hosted service) 사이의 경계입니다. 저는 피칭(pitch)을 위해 이 경계를 흐리기보다는 차라리 명확하게 밝히고 싶습니다. Frisk의 호스팅 측은 평판 이력(reputation history)과 위협 인텔리전스(threat intelligence)가 존재하게 될 영역이며, 아직 초기 단계입니다. 제가 모든 x402 개발자에게 _지금 당장_ 설치하라고 기꺼이 말할 수 있는 부분은 위에 언급된 결정론적 하한선(deterministic floor)입니다. 만약 결제를 수행하는 에이전트를 배포하고 있다면, 거기서부터 시작하십시오. 다섯 가지 체크 항목은 비용이 들지 않으며, 여러분의 프로세스 내에서 실제로 차단 가능한 공격들을 막아줍니다.

## 핵심 요약 (Takeaways)

- 에이전트 결제 보안은 단 하나의 문제가 아닙니다. 세 가지 문제입니다: 결제 전 수행할 수 있는 구조적 체크(structural checks), 데이터로부터 확보해야 하는 평판(reputation), 그리고 어떠한 스크리닝 호출(screening call)보다 하위에 존재하는 프로토콜/결제(protocol/settlement)의 허점입니다. 이들을 각각 별도로 해결하십시오. 그리고 하나의 도구가 다른 문제들까지 해결할 수 있다고 가장하게 두지 마십시오.
- 결정론적 하한선 — payTo-swap 탐지, 지출 정책(spending policy), 전송 및 주소의 건전성(transport and address sanity) — 은 네트워크 호출이나 타인에 대한 신뢰 없이도 문서화된 다섯 가지 x402 공격 클래스 중 세 가지를 포착합니다. 이를 배포하십시오.
- 순수하게 로컬 로직만으로 Sybil/평판 공격을 탐지한다고 주장하는 것은 무엇이든 회의적으로 바라보십시오. 해당 카테고리에는 데이터가 필요하며, 경계에 대한 정직함이 이 게임의 핵심입니다.

Frisk는 MIT 라이선스이며, lite 엔진은 의존성이 없습니다: [`npm i frisk-screen`](https://www.npmjs.com/package/frisk-screen) / [`pip install frisk-screen`](https://pypi.org/project/frisk-screen/). 소스 코드, 위협 모델(threat-model) 노트, 그리고 (짧고 읽기 쉬운) 체크 로직은 [GitHub](https://github.com/Jiangw2718i/frisk)에서 확인할 수 있습니다. 만약 x402를 기반으로 구축하면서 제가 놓친 공격 벡터를 발견한다면 이슈(issue)를 생성해 주세요. 그것이 바로 이 프로젝트가 축적되어야 할 방식입니다.

평판 기반의 호스팅 티어(reputation-backed hosted tier)는 현재 얼리 액세스(early access) 단계입니다. 만약 해당 기능이 필요하시다면 [support@tryfrisk.dev](mailto:support@tryfrisk.dev)로 이메일을 보내주세요. 하지만 위에 설명된 결정론적 하한선(deterministic floor)은 무료이며, MIT 라이선스로 제공되므로 오늘 바로 배포하여 사용하실 수 있습니다.

_참조된 출처: "Five Attacks on x402" 및 "A402" (arXiv); Halborn, "x402 Explained: Security Risks and Controls"; AgentLISA x402 security position paper._