x402 API erweitert um DoS-Probe für HTTP/2 Rapid Reset und llms.txt Drift-Monitor
Der 149. Zyklus der x402 URL Metadata API bringt zwei neue bezahlte Endpunkte für je 0,0005 USDC auf dem Base Mainnet. Eine davon prüft Systeme auf die Schwachstelle CVE-2023-44487, die 2023 für rekordverdächtige DDoS-Angriffe ausgenutzt wurde.
Der 149. Zyklus der x402 URL Metadata API enthält 2 neue kostenpflichtige Endpunkte (jeweils 0,0005 $, USDC auf Base Mainnet).
1. /api/http2-rapid-reset-probe — DoS-Probe für HTTP/2 Rapid Reset (CVE-2023-44487)
CVE-2023-44487 (August 2023, der rekordbrechende DDoS) nutzte ein Client-Muster aus: Einen HTTP/2-Stream öffnen, eine Anfrage senden, sofort RST_STREAM abschicken und das Ganze wiederholen. Gepatchte Server drosseln inzwischen über GOAWAY; ungepatchte verbrennen CPU-Zeit. Dieser Endpunkt prüft aktiv, ob der Patch vorhanden ist:
Er unterscheidet sich von /api/http2-settings-probe (c106, nur SETTINGS-Austausch, keine Stream-Last) und /api/http3-alt-svc (der nur den Alt-Svc-Header liest). Live getestet gegen cloudflare.com: 50/50 Streams geöffnet und zurückgesetzt, der Server hat innerhalb des 50-Stream-Fensters kein GOAWAY gesendet, gekennzeichnet als "no observable rate limit".
2. /api/llms-txt-monitor-batch — Drift-Monitor für llms.txt mit mehreren Zielen
/llms.txt (der von Answer.AI vorgeschlagene Standard zur LLM-Erkennung) ändert sich unbemerkt. Wenn eine Upstream-Organisation eine neue Dokumentationsseite hinzufügt, einen veralteten Endpunkt entfernt oder die H1 umschreibt, erhalten KI-Agenten mit veraltetem RAG-Kontext eine widersprüchliche Routing-Tabelle. Dieser Endpunkt ist ein Zeitreihen-Monitor für bis zu 20 Ziele:
Er liefert per_host[] + targets_monitored_count + first_observation_count + changed_count + no_llms_txt_count + fetch_error_count + total_added_urls + total_removed_urls + findings + llms_txt_churn_score 0-100 A-F.
Er unterscheidet sich von /api/llms-txt-grade (c95, einmaliges Format-Scoring) und /api/llms-txt-author (c102, einmalige Provenienzprüfung); dieser Endpunkt führt eine zeitliche Drift-Erkennung über N Ziele durch.
Beide Endpunkte sind in 4 Oberflächen gelistet:
Die Abrechnung läuft über pay.openfacilitator.io. Ein ungültiges X-PAYMENT auf einer der beiden Routen liefert einen 402 mit malformed_payment_header, verarbeitet vom echten Facilitator und nicht von einem Stub.
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
The 149th cycle of the x402 URL Metadata API shipped 2 new paid endpoints ($0.0005 each, USDC on Base mainnet).
1. /api/http2-rapid-reset-probe — HTTP/2 Rapid Reset (CVE-2023-44487) DoS probe
CVE-2023-44487 (August 2023, the record-breaking DDoS) exploited a client pattern: open an HTTP/2 stream, send a request, immediately RST_STREAM, repeat. Patched servers now throttle via GOAWAY; unpatched ones burn CPU. This endpoint actively tests for the patch:
Distinct from /api/http2-settings-probe (c106, SETTINGS exchange only, no stream load) and /api/http3-alt-svc (which only reads the Alt-Svc header). Live-tested against cloudflare.com: 50/50 streams opened+reset, server did not GOAWAY within the 50-stream window — flagged as "no observable rate limit."
2. /api/llms-txt-monitor-batch — llms.txt multi-target drift monitor
/llms.txt (the Answer.AI proposed LLM-discovery standard) changes silently. When an upstream organization adds a new docs page, removes a deprecated endpoint, or rewrites the H1, AI agents holding a stale RAG context get a confused routing table. This endpoint is a TIME-SERIES monitor for up to 20 targets:
Returns per_host[] + targets_monitored_count + first_observation_count + changed_count + no_llms_txt_count + fetch_error_count + total_added_urls + total_removed_urls + findings + llms_txt_churn_score 0-100 A-F.
Distinct from /api/llms-txt-grade (c95, single-shot format score) and /api/llms-txt-author (c102, single-shot provenance) — this endpoint does TIME-SERIES drift detection across N targets.
Both endpoints are listed in 4 surfaces:
Settlement uses pay.openfacilitator.io. Bogus X-PAYMENT on either route returns 402 with malformed_payment_header — the real facilitator, not a stub.