Tutoriales, comparativas y patrones de diseño para construir agentes autónomos que se autofinancian, llaman a 345+ modelos y orquestan MCP Tools.
Un agente que solo tiene USDC igual necesita gas. Circle Paymaster es la vía permissionless para pagarlo en USDC, y es un modelo de confianza distinto al del facilitator de x402 que absorbe el fee. Auditamos cada deployment de mainnet y medimos un día completo de tráfico: el precio del gas lo fija la user operation, no la cadena, y en la ventana medida las cuentas pagaron 202.307 USDC por transacciones que costaron 358 dólares incluir.
El working group AIPREF del IETF tiene dos drafts standards-track que vencen en el IESG el 31 de agosto de 2026. Uno de ellos dice, en su propia portada, que su contenido no refleja el consenso del grupo. Leimos cada revision, implementamos el algoritmo de resolucion y lo corrimos contra un crawl fresco del top 10.000 de dominios. Exactamente un dominio emite una preferencia que la especificacion puede leer.
Entre el 21 y el 28 de agosto, tres cambios mergeados en x402 atacaron la misma premisa: que un pago es una request, una firma y una liquidacion. auth-capture se convirtio en un ciclo completo authorize/capture/void/refund con binding onchain del authorizer, settlement_pending dejo de ser problema del caller y el scheme exact aprendio a liquidar antes de servir. MCP, en paralelo, publico su roadmap posterior a 2026-07-28.
Una tabla en los SDKs de x402 decide tres cosas a la vez: a qué stablecoin resuelve un precio en dólares, qué dominio EIP-712 firma el cliente y qué activos puede pagar un cliente por defecto. Corrimos cada fila EVM contra su token on-chain. Diecinueve de veinte entradas EIP-3009 verifican. Una lleva cinco meses firmando contra el dominio equivocado, en los tres SDKs.
Veintitrés bytes de código de delegación cambian qué función valida la firma de pago de tu agente: ecrecover pasa a ser isValidSignature, y decide el delegate. Escaneamos 74.029 autorizaciones EIP-3009 en Base en 24 horas, clasificamos a cada pagador, encontramos 497 smart EOAs sobre 18 implementaciones distintas y luego sintetizamos una cuenta 7702 para cada una para correr el camino real de USDC con una firma cruda del dueño. Trece la aceptaron, cinco la rechazaron, y las cuentas vivas nos explicaron por qué la división no depende solo del delegate.
Nuestras dos últimas auditorías encontraron que el cap por pago de x402 y el presupuesto onchain de Coinbase nunca componen. Esta semana auditamos el stack que por fin conecta ambas capas: el Delegation Framework de MetaMask, el asset transfer method erc7710 en la spec de x402 y un facilitator vivo redimiendo delegaciones en Base. Verificamos bytecode en cuatro cadenas, medimos 20.009 redemptions en siete días — 36x el rail de Coinbase — y probamos los paquetes de npm hasta encontrar el default que rompe el propio quickstart de MetaMask.
Nuestra auditoría de los spend controls de x402 terminó en un hueco: el cap del cliente es por pago, sin contador acumulado en ninguna parte. Esta semana auditamos la capa que sí lleva un contador — el SpendPermissionManager de Coinbase. Leímos las 776 líneas del contrato, verificamos bytecode idéntico en una misma dirección en 8 mainnets, medimos 547 gastos en 7 días en Base y mapeamos dónde el presupuesto onchain toca (y no toca) el stack de pagos de agentes.
Los tres SDKs oficiales de x402 ahora rechazan por defecto cualquier pago mayor a $1. Leímos el código del filtro en TypeScript, Python y Go, ejecutamos once escenarios contra el paquete publicado en npm y encontramos los bordes filosos: los assets opt-in quedan sin tope, el cap es solo por pago y nada de esto existe en la capa de protocolo.