一个 AI 代理写报告时需要一个数据点，API 回复「这一步要五美分」，代理签名、支付结算、数据送达。支付成功了，但这不代表它是对的。x402 这类协议让机器对机器支付可以跑在普通 HTTP 上：客户端请求资源，收到 402 和 PAYMENT-REQUIRED 头，选一个支付选项签名后带着 PAYMENT-SIGNATURE 重试，facilitator 先验证并结算再交付资源，全程不需要人逐笔批准——这既是这个协议有意思的地方，也正是安全边界被挪动的地方。让代理能付钱只是容易的那一半，更难的是决定它到底被授权为哪些东西付钱，并且在不问另一个模型的前提下强制执行这个决定。作者在 Base Sepolia 测试网上用官方客户端跑了 240 次测试，总结出六类「机制正常工作但交易是坏的」失败，其中三类特别值得注意：价格操纵（目录写五美分，实际请求要五十美分，而客户端默认的一美元上限挡不住，因为五十美分低于一美元；只校验金额时一半攻击仍能通过，改为逐字段校验后 240 次全部被拦）；一次支付多个结果（同一份签名并发发五次，链上只结算一次，卖家却交付了五次）；以及免费购物（验证不等于结算，结算后来失败时资源早已交付）。