Analisi riassuntiva
Gli incidenti di sicurezza delle API sono in aumento: l'87% delle organizzazioni ha subito un incidente relativo alla sicurezza delle API nell'ultimo anno, passando dal 76% registrato nel 2022.
L'AI è connessa: il 42% degli incidenti riguarda le API collegate alle tecnologie basate sull'AI, come i modelli linguistici di grandi dimensioni (LLM) e gli agenti autonomi.
La visibilità si blocca: solo il 23% delle aziende che dispongono di inventari "completi"sa quali delle loro API restituiscono dati sensibili.
Esiste una lacuna di sicurezza: i dirigenti aziendali sono molto più ottimisti sulla maturità dei test sulle API rispetto ai team DevSecOps che svolgono il lavoro.
- Le conseguenze finanziarie sono significative: le violazioni correlate alle API ora costano alle prime quattro organizzazioni 1,8 milioni di dollari in più all'anno.
Una realtà preoccupante per gli addetti alla sicurezza
I risultati dell'ultimo studio sull'impatto della sicurezza delle API condotto da Akamai rivelano una realtà preoccupante per gli addetti alla sicurezza. Anche se gli avvisi sulle API non autorizzate, sulle API ombra, sulle API zombie e su altre vulnerabilità della sicurezza delle API hanno convinto le organizzazioni a investire nella sicurezza delle API negli ultimi anni, le aziende hanno ancora difficoltà a tenere il passo con le minacce. Nella fretta di trarre vantaggio dai nuovi miglioramenti apportati dall'intelligenza artificiale, le aziende stanno inavvertitamente creando una superficie di attacco estesa e non mappata che le difese tradizionali non riescono a vedere, figuriamoci a proteggere.
I risultati dello studio sull'impatto della sicurezza delle API nel 2026, condotto da Akamai su 1.840 responsabili e addetti alla sicurezza in 10 paesi, dimostrano come la crescita delle API stia superando gli sforzi in termini di resilienza. Mentre le aziende globali ora gestiscono una media di 5.900 API, la loro capacità di difenderle sta crollando.
Non si tratta solo di un problema tecnico, ma di un errore di governance sistemico che costa in media alle organizzazioni 700.000 dollari all'anno. Inoltre, i costi stanno solo aumentando. Lo studio sull'impatto della sicurezza delle API nel 2024 ha stabilito un costo medio di 590.000 dollari.
Fortunatamente, le organizzazioni stanno iniziando a comprendere i rischi per le loro API. Ad esempio, per quasi l'80% delle aziende, la sicurezza delle API è tra le tre principali priorità della cybersecurity. Due terzi degli intervistati hanno segnalato di aver focalizzato maggiormente l'attenzione sulla sicurezza delle API negli ultimi 12 mesi. Inoltre, più della metà (52%) ha citato gli incidenti di sicurezza delle API tra le prime cinque minacce informatiche più significative per la propria organizzazione per raggiungere la resilienza informatica.
I team addetti alla sicurezza non riescono a tenere il passo con la proliferazione di queste minacce.
Il grande svantaggio: perché le soluzioni WAF non sono sufficienti
Per anni, le organizzazioni hanno trattato la sicurezza delle API come un requisito di conformità di routine nelle soluzioni WAF (Web Application Firewall). Le soluzioni WAF sono state progettate per bloccare le firme "dannose" come gli attacchi SQL injection. Tuttavia, i moderni attacchi alle API sono di tipo "low and slow", ossia utilizzano credenziali legittime e strutture di protocolli legali per eseguire azioni illecite.
La sicurezza web tradizionale considera le API come secondarie per l'interfaccia utente. In realtà, in un mondo basato sull'intelligenza artificiale, le API rappresentano un grande valore commerciale.
La nostra ricerca mostra che, mentre l'80% delle aziende utilizza una soluzione WAF, solo il 35% utilizza strumenti dedicati per la sicurezza delle API. Questa dipendenza dai perimetri legacy lascia un enorme divario che favorisce minacce come la violazione dell'autorizzazione a livello di oggetto (BOLA) e l'abuso della logica aziendale. I criminali non violano più il codice, ma chiedono semplicemente alle API di eseguire azioni per cui non erano state progettate, così la soluzione WAF si trova ad accedere il traffico non autorizzato.
In effetti, gli attacchi BOLA sono spesso il risultato di errori di configurazione, come riferimenti diretti a oggetti non sicuri o un eccessivo affidamento sui controlli lato client. Questo aspetto diventa particolarmente preoccupante poiché la metà delle aziende intervistate ha dichiarato di essere preparate solo leggermente o moderatamente per risolvere gli errori di configurazione.
L'epidemia delle API ombra e i rischi amplificati dall'AI
È impossibile proteggersi da ciò che non si vede. Il problema delle API ombra è diventato critico. I dati di quest'anno mostrano che, mentre il 77% degli intervistati afferma di disporre di un inventario completo delle proprie API, la visibilità sull'intento di tali API è diminuita per quattro anni consecutivi.
Nel 2022, il 40% delle organizzazioni sapeva quali API restituivano dati sensibili. Oggi, questo numero è sceso al 23%. I criminali stanno sfruttando questa lacuna di visibilità con l'intelligenza artificiale.
Poiché le aziende hanno investito 37 miliardi di dollari nella GenAI nel 2025, hanno creato migliaia di nuove connessioni ai modelli LLM. Queste API collegate all'intelligenza artificiale determinano a quali dati un modello può accedere e quali azioni può attivare. Se un criminale inganna un'AI tramite un attacco di prompt injection, è l'API che recupera i dati sensibili.
Le organizzazioni stanno iniziando a comprendere i rischi correlati. Secondo lo studio sull'impatto della sicurezza delle API nel 2026, il 42% degli addetti alla sicurezza che hanno segnalato incidenti di sicurezza correlati alle API nell'ultimo anno ha affermato che gli attacchi che hanno subito sono stati sferrati contro le API collegate alle tecnologie basate sull'intelligenza artificiale, come app, agenti e modelli LLM.
La lacuna di sicurezza crea un senso di crisi per i dirigenti
Uno dei risultati più sorprendenti emersi dalla studio sull'impatto della sicurezza delle API nel 2026 è la differenza tra la percezione dei dirigenti e la realtà operativa. Agli intervistati è stato chiesto di valutare la maturità dei test condotti sulle API all'interno della propria organizzazione su una scala di tre livelli:
- Test funzionali che verificano se le API funzionano nel modo previsto
- Test con controlli sulla sicurezza limitati
- Test avanzati che valutano sistematicamente le API alla ricerca di vulnerabilità e metodi di attacco reali
Inoltre, le organizzazioni hanno compreso da anni che i test condotti durante il ciclo di vita dello sviluppo del software (SDLC) sono uno dei passaggi più importanti per colmare le lacune nella sicurezza delle API. Inoltre, anche se il divario di percezione non è così netto come la lacuna di sicurezza, anch'esso rappresenta un problema.
Metrica | Sicurezza dei dirigenti | Realtà dei DevSecOps |
|---|---|---|
Maturità dei test avanzata | 40% | 28% |
Integrazione SDLC completa | 19% | 13% |
La lacuna nella sicurezza dei dirigenti; fonte: Studio sull'impatto della sicurezza delle API nel 2026
Le lacune mostrate nella tabella suggeriscono che i dirigenti potrebbero non effettuare investimenti adeguati nella sicurezza delle API perché ritengono che il problema sia già stato risolto. Quando la necessità di accelerare l'implementazione dell'intelligenza artificiale fa passare in secondo piano la sicurezza, i team DevSecOps si rendono conto prima delle lacune.
Un'eccessiva sicurezza nei dirigenti causa una carenza di risorse dedicate: solo 1 azienda su 6 ha integrato completamente i test sulla sicurezza delle API nelle proprie pipeline CI/CD, limitando un passaggio fondamentale per prevenire abusi e attacchi.
Il vero costo dello status quo
La sicurezza delle API non è più solo un problema IT, ma un rischio aziendale di tipo materiale. L'impatto finanziario aumenta man mano che i criminali passano dal furto di dati semplici all'interruzione della logica aziendale di base.
L'ultimo studio sull'impatto della sicurezza delle API rivela quanto possano risultare significativi gli incidenti delle API, tra cui:
- Costo medio annuo: 700.000 dollari per organizzazione
- Costo medio annuo per le prime 4 organizzazioni: più di 1,8 milioni di dollari
- Cause principali dell'aumento dei costi: riparazioni dei sistemi, problemi di downtime e spese legali
In settori come l'energia e i servizi di pubblica utilità, il costo medio sale fino a 860.000 dollari. La perdita non è puramente finanziaria, ma influisce sulla produttività. Quando le API vengono compromesse, le applicazioni su cui si basano si bloccano, causando enormi criticità interne e una perdita di fiducia da parte dei clienti.
Questa consapevolezza sta diventando sempre più chiara per i responsabili e gli addetti alla sicurezza. Quasi l'80% delle aziende classifica la sicurezza delle API fra le tre principali priorità della cybersecurity.
Un nuovo percorso per il futuro: l'allontanamento dal concetto del perimetro
Per sopravvivere all'era dell'intelligenza artificiale, gli addetti alla sicurezza non solo devono continuare a tenere conto delle vulnerabilità delle API, ma devono anche cambiare il loro modo di pensare. Non possiamo più fare affidamento su difese statiche e sperare che tutte le API vengano prese in considerazione. Per evolvere le proprie strategie in modo da dare priorità al livello delle API, le organizzazioni devono:
- Colmare le lacune nella visibilità
- Superare i semplici test funzionali
- Formalizzare la governance delle API
Colmare le lacune nella visibilità
Basta affidarsi a fogli di calcolo statici. È necessario un rilevamento continuo e automatizzato in grado di identificare le API zombie, ombra e basate sull'intelligenza artificiale in tempo reale. Se non si conoscono le API che trattano le informazioni di identificazione personale (PII) o i dati regolamentati dall'HIPAA, si rischia di perdere la fiducia dei clienti e delle autorità di regolamentazione.
Superare i semplici test funzionali
I test funzionali dimostrano solo che un'API funziona, ma non che è sicura. Le aziende devono passare a test di sicurezza avanzati in grado di simulare metodi di attacco reali, come attacchi di credential stuffing e BOLA, durante la fase di sviluppo.
Formalizzare la governance delle API
La sicurezza delle API deve essere integrata nei rapporti formali sulla conformità e nelle valutazioni dei rischi. Mentre il 95% delle organizzazioni afferma di aver già incluso le API nei requisiti normativi, solo il 38% di esse include le API nei loro rapporti obbligatori. L'esecuzione deve corrispondere all'intenzione.
Solo Akamai protegge le aziende basate sull'intelligenza artificiale
La corsa all'intelligenza artificiale è già iniziata, ma non è troppo tardi per rafforzare le fondamenta. Akamai fornisce la visibilità globale e l'intelligence comportamentale necessarie per rilevare e bloccare l'abuso delle API prima che raggiunga l'origine. Combinando la sicurezza dedicata delle API con la nostra protezione globale delle applicazioni web e delle API, garantiamo che le innovazioni dell'AI siano basate su un'architettura resiliente e sicura.
Leggi il rapporto completo per ottenere i dati comparativi su come i tuoi colleghi si stanno avvicinando alla sicurezza delle API nell'ambito dei progressi compiuti dall'intelligenza artificiale.
Tag
