요약 보고서
API 보안 인시던트가 증가하고 있음: 지난 한 해 동안 API 보안 인시던트를 겪은 기업은 87%로, 2022년의 76%에서 증가했습니다.
AI와의 연관성이 커지고 있음: 인시던트의 42%는 대규모 언어 모델(LLM) 및 자율 에이전트와 같은 AI 기술과 연결된 API와 관련이 있습니다.
가시성이 떨어지고 있음: “전체” API 목록을 보유한 기업 중 23%만이 어떤 API가 민감한 데이터를 반환하는지 실제로 알고 있습니다.
신뢰도 격차가 있음: 경영진이 실무를 담당하는 DevSecOps 팀보다 API 테스트의 성숙도에 대해 훨씬 더 낙관적입니다.
- 재정적 영향이 막대함: API 관련 유출로 인해 현재 상위 25%의 기업이 연간 180만 달러의 비용을 지출하고 있습니다.
보안 전문가가 맞닥뜨린 현실적 문제
Akamai의 최신 API 보안 영향 연구 결과를 통해 보안 전문가들이 직면한 문제점을 확인하시기 바랍니다. 최근 몇 년 동안 악성 API, 섀도 API , 좀비 API 및 기타 API 보안 취약점에 대한 경고로 인해 기업들은 API 보안에 투자하고 있지만, 위협에 대응하는 데는 여전히 어려움이 있습니다. 새로운 AI의 발전을 활용하기 위해 급히 노력하는 가운데, 기업들은 기존 방어 체계로는 확인할 수 없는, 매핑되지 않은 무질서한 공격 표면을 의도치 않게 형성하고 있습니다.
10개국 1840명의 보안 리더 및 실무자를 대상으로 실시한 2026년 Akamai API 보안 영향 연구 결과는 API의 성장이 안정성에 대한 노력을 어떻게 무색하게 하는지를 보여줍니다. 글로벌 기업들은 현재 평균 5900개의 API를 관리하고 있지만, API를 방어하는 능력은 점점 떨어지고 있습니다.
이는 단순한 기술적 결함이 아니라 시스템 거버넌스의 실패이며, 이로 인해 기업에는 연간 평균 70만 달러의 비용이 발생합니다. 게다가 비용은 계속 증가하고 있습니다. 2024년 API 보안 영향 연구에 따르면 평균 비용은 59만 달러입니다.
다행히 기업들은 API에 대한 리스크를 이해하기 시작했습니다. 예를 들어, 약 80%의 기업에서 API 보안은 3대 사이버 보안 우선순위 중 하나로 꼽힙니다. 응답자의 3분의 2는 지난 12개월 동안 API 보안에 대한 관심이 증가했다고 답했습니다. 또한 절반 이상(52%)은 API 보안 인시던트를 기업이 사이버 안정성을 달성하는 데 가장 중요한 5대 사이버 위협 중 하나로 꼽았습니다.
보안팀은 무질서한 확산에 대응할 수 없습니다.
거대한 단절: WAF가 충분하지 않은 이유
수년 동안 기업들은 API 보안을 웹 애플리케이션 방화벽(WAF) 요구사항 목록에 있는 형식적인 컴플라이언스 요구사항으로 간주했습니다. WAF는 SQL 인젝션(SQLi)과 같은 “악성” 시그니처를 차단하도록 설계되었습니다. 그러나 최신 API 공격은 “은밀하게 천천히” 이루어집니다. 이들은 정상적인 인증정보와 법적 프로토콜 구조를 사용해 불법 행위를 저지릅니다.
기존 웹 보안 체계에서는 API를 UI의 보조 요소로 취급합니다. AI의 중심의 세계에서는 API가 곧 비즈니스입니다.
Akamai의 리서치에 따르면 80%의 기업이 WAF를 사용하지만 전용 API 보안 툴을 사용하는 기업은 35%에 불과합니다. 레거시 경계에 대한 의존으로 인해 손상된 오브젝트 수준 권한(BOLA)과 비즈니스 로직 악용에 큰 격차가 발생합니다. 공격자는 더 이상 코드를 해독하지 않습니다. 의도하지 않은 작업을 API에 요청할 뿐이며, 이때 WAF는 무단 트래픽을 허용합니다.
실제로 BOLA 공격은 안전하지 않은 직접 오브젝트 참조나 클라이언트 측 검사에 대한 과도한 의존과 같은 설정 오류 문제로 인해 발생하는 경우가 많습니다. 설문 조사에 참여한 기업 중 절반이 설정 오류를 해결할 준비가 약간 또는 보통 밖에 되지 않았다고 응답한 점을 감안하면 이러한 문제는 특히 우려스럽습니다.
섀도 API의 확산과 AI로 인한 영향 증폭
볼 수 없는 공격은 방어할 수도 없습니다. 섀도 API 문제는 한계점에 도달했습니다. 올해의 데이터에 따르면 응답자의 77%가 “API의 전체 목록을 보유하고 있다고 주장했지만, API의 의도에 대한 가시성은 4년 연속 감소했습니다.
2022년에는 기업의 40%가 어떤 API가 민감한 데이터를 반환하는지 알고 있었습니다. 현재 이 수치는 23%로 급감했습니다. 공격자는 AI를 사용해 이러한 가시성 격차를 악용하고 있습니다.
기업들은 2025년 생성형 AI에 370억 달러를 투자하면서 수천 개의 새로운 LLM 연결 지점을 구축했습니다. 이러한 AI와 연결된 API는 모델이 접속할 수 있는 데이터와 모델이 트리거할 수 있는 작업을 결정합니다. 공격자가 프롬프트 인젝션을 통해 AI를 속이는 경우 민감한 데이터를 가져오는 주체는 바로 API입니다.
기업은 이 리스크를 이해하기 시작했습니다. 2026년 API 보안 영향 연구에 따르면 지난 1년 동안 API 연계 보안 인시던트를 보고한 보안 전문가 중 42%는 해당 인시던트가 앱, 에이전트, LLM과 같은 AI 기술과 연결된 API와 관련된 공격이었다고 답했습니다.
신뢰도 격차: 리더십 위기
2026년 API 보안 영향 연구에서 가장 놀라운 결과 중 하나는 리더십의 인식과 운영 현실의 차이입니다. 응답자는 기업 내 API 테스트의 성숙도를 다음과 같은 3단계 규모로 평가할 것을 요청받았습니다.
- API가 의도한 대로 작동하는지 확인하는 기능 테스트
- 제한적인 보안 검사를 포함한 일부 보안에 초점을 맞춘 테스트
- API의 취약점과 실제 공격 방법을 체계적으로 평가하는 고급 테스트
또한 기업은 소프트웨어 개발 수명 주기(SDLC) 동안 테스트를 하는 것이 API 보안 격차를 해소하는 가장 중요한 단계 중 하나라는 점을 수년에 걸쳐 알게 되었습니다. 그리고 인식 격차가 보안 격차만큼 심각하지는 않지만 이 역시 문제는 있습니다.
표에 나타난 격차는 경영진이 문제가 이미 해결되었다고 믿기 때문에 API 보안에 대한 투자를 적게 하고 있을 수 있음을 시사합니다. AI 배포 속도에 대한 필요성이 보안을 무색하게 할 경우 DevSecOps 팀이 균열을 먼저 발견합니다.
경영진의 지나친 신뢰는 전용 리소스의 부족으로 이어집니다. API에 대한 보안 테스트를 CI/CD 파이프라인에 완전히 통합한 기업은 6곳 중 1곳뿐이며, 이는 악용과 공격을 방지하는 핵심 단계를 제한합니다.
현상 유지의 실제 비용
API 보안은 더 이상 단순한 IT 문제가 아니라 중대한 비즈니스 리스크입니다. 공격자들이 단순한 데이터를 탈취하는 것에서 핵심 비즈니스 로직을 방해하는 것으로 전환함에 따라 재정적 영향이 더욱 커지고 있습니다.
최신 API 보안 영향 연구에서는 API 인시던트가 다음과 같이 얼마나 심각한지를 나타냅니다.
- 평균 연간 비용: 기업당 70만 달러
- 상위 25% 기업에서 발생하는 평균 연간 비용: 180만 달러 이상
- 주요 비용 요인: 시스템 수리, 다운타임, 법적 비용
에너지 및 유틸리티 업계에서는 평균 비용이 86만 달러로 급증합니다. 손실은 금전뿐만 아니라 생산성에도 영향을 미칩니다. API가 감염되면 API를 기반으로 하는 애플리케이션이 중단되어 내부 마찰이 심해지고 고객의 신뢰도도 떨어집니다.
이러한 현실은 보안 리더와 실무자에게 점점 더 명백해지고 있습니다. 약 80%의 기업이 API 보안을 상위 3대 사이버 보안 우선순위로 꼽았습니다.
앞으로 나아갈 새로운 길: 경계 중심 사고방식에서의 탈피
AI 시대에 살아남으려면 보안 전문가는 API 취약점을 계속 고려할 뿐만 아니라 사고방식도 바꿔야 합니다. Akamai에서는 더 이상 정적 방어에 의존할 수 없으며 모든 API가 고려되기를 바랍니다. 기업은 다음과 같은 방법으로 API 레이어의 우선순위를 정하기 위한 전략을 발전시켜야 합니다.
- 기본적인 가시성 격차 해소
- 기능 테스트 수준을 뛰어넘는 테스트 구현
- API 거버넌스 공식화
기본적인 가시성 격차 해소
정적 스프레드시트에 의존하지 마세요. AI와 연결된 API, 섀도 API, 좀비 API를 실시간으로 탐지하는 지속적이고 자동화된 검색 기능이 필요합니다. 어떤 API가 개인 식별 정보(PII)나 HIPAA 규제 데이터를 처리하는지 모르면 고객과 규제 기관의 신뢰를 잃을 수 있습니다.
기능 테스트 수준을 뛰어넘는 테스트 구현
기능 테스트는 API의 작동성을 입증할 뿐입니다. 안전성은 증명할 수 없습니다. 기업은 개발 단계에서 크리덴셜 스터핑, BOLA 공격 등 실제 공격 방법을 시뮬레이션하는 고급 보안 테스트로 전환해야 합니다.
API 거버넌스 공식화
API 보안이 공식적인 컴플라이언스 보고 및 리스크 평가에 통합되어야 합니다. 95%의 기업이 이미 API를 규제 요구사항에 포함시키고 있다고 답했지만, 필수 보고서에 API를 포함시키는 기업은 38%에 불과했습니다. 의도에 걸맞는 실천이 이루어져야 합니다.
AI 기반 기업을 보호하는 유일한 기업, Akamai
AI 경쟁이 한창이지만, 기반을 강화하기에 아직 늦지 않았습니다. Akamai는 API 악용이 오리진에 도달하기 전에 이를 확인하고 차단하는 데 필요한 글로벌 가시성과 행동 인텔리전스를 제공합니다. 전용 API 보안과 글로벌 웹 애플리케이션 및 API 보안을 결합함으로써 안정적이고 안전한 아키텍처에 기반한 AI 혁신을 지원합니다.
보고서 전문을 읽고 벤치마크 데이터를 통해 AI의 발전 속에서 업계 동료들이 API 보안에 어떻게 접근하고 있는지 알아보세요.
태그
