内容提要
API 安全事件不断增加：87% 的企业在过去一年中遭受过 API 安全事件，相较 2022 年的 76% 有显著增长。
AI 技术叠加扮演重要角色：42% 的安全事件涉及接入大语言模型 (LLM) 和自主智能体等 AI 技术的 API。
监测能力显著减弱：在拥有“完整”清单的企业中，仅有 23% 真正清楚哪些 API 会返回敏感数据。
各方信心存在明显差距：相比实际开展工作的 DevSecOps 团队，高管层对其 API 测试成熟度要乐观得多。
- 安全事件带来的资金损失不容小觑：API 相关的漏洞现已导致受影响最严重的前 25% 企业每年损失高达 180 万美元。
安全专业人员面临棘手现实难题
Akamai 最新 API 安全影响研究结果揭示了安全专业人员面临的棘手现实难题。尽管近年来针对恶意 API、影子 API、僵尸 API 及其他 API 安全漏洞的预警促使企业加大安全投资，但各公司在跟上威胁演变步伐方面依旧吃力。企业在竞相部署最新 AI 技术成果的同时，无形中滋生了无序蔓延且未经梳理的攻击面，传统防御措施连识别都无能为力，更不用说提供安全保障了。
《2026 年 Akamai API 安全影响研究》对全球 10 个国家/地区的 1,840 名安全主管及从业人员进行了调研，结果表明 API 的增长速度已超过了企业网络弹性建设步伐。尽管全球企业目前平均管理着 5,900 个 API，但其安全防御能力却在大幅下滑。
这不只暴露了技术层面的漏洞，更折射出系统性治理维度的缺位，导致企业年均遭受 700,000 美元的损失。更为严峻的是，此类损失数额还在持续走高。回顾 2024 年 API 安全影响研究，当时安全事件的平均损失为 590,000 美元。
所幸，许多企业已开始意识到其 API 所面临的安全风险。举例而言，近 80% 的企业将 API 安全列为网络安全领域的三大优先事项。三分之二的受访者表示，在过去 12 个月中，他们对 API 安全的关注度越来越高。此外，超过半数 (52%) 的受访者将 API 安全事件列为企业在构建网络弹性时最需关注的前五大网络威胁之一。
安全团队根本无法跟上 API 无序蔓延步伐。
严重认知脱节：为什么仅靠 WAF 远远不够
多年来，许多企业仅仅将 API 安全视为 Web 应用程序防火墙 (WAF) 需求清单中一项流于形式的合规项。WAF 的设计初衷是拦截 SQL 注入等具有明显已知特征的“恶意”攻击。然而，现代 API 攻击往往呈现出“低频且缓慢”的隐蔽特征。攻击者会利用合法凭据和合规协议结构实施非法行为。
传统 Web 安全架构将 API 视为 UI 的附属。在 AI 纵横的世界，API 已上升为企业业务运转的核心支柱。
我们的研究表明，尽管有 80% 的公司部署了 WAF，但其中仅有 35% 使用了专用 API 安全工具。这种对传统边界防御的依赖，在防范对象级授权失效 (BOLA) 和业务逻辑滥用方面留下了巨大的防护空白。攻击者现在不再热衷于破解系统代码，他们只需诱导 API 执行非原定操作，而 WAF 往往会直接放行这些未经授权的违规流量。
事实上，BOLA 攻击通常源于不安全的直接对象引用或过度依赖客户端检查等错误配置问题。考虑到有一半参调企业表示，在处理错误配置方面仅做好轻度至适度准备，情况格外引人关注。
影子 API 蔓延趋势与 AI 引发的叠加效应
而您也无法保护自己无法识别的资产。影子 API 问题已到达爆发临界点。本年度数据显示，尽管 77% 受访者声称拥有“完整的 API 清单”，但对这些 API 意图的监测能力已连续四年出现下滑。
2022 年，只有 40% 的企业知道哪些 API 会返回敏感数据。如今，这一比例已大幅下滑至 23%。攻击者正借助 AI 技术，加速蚕食这一监测盲区。
随着企业在 2025 年向生成式 AI 投资 370 亿美元，他们也同步构建了数以千计接入 LLM 的新通道。这些与 AI 关联的 API 决定了模型可以访问的数据和能够触发的操作。一旦攻击者通过注入提示词成功误导 AI，最终调取敏感数据的恰恰是 API。
许多企业已开始意识到所面临的安全风险。《2026 年 API 安全影响研究》表明，过去一年中上报过 API 相关安全事件的安全专业人员中，有 42% 表示其遭遇的事件涉及与 AI 技术（如应用程序、智能体及 LLM）相关联的 API。
各方信心存在明显差距：高管层治理危机
《2026 年 API 安全影响研究》中最惊人的研究结果之一是，领导层认知与现实运营状况之间存在差异。受访者需从以下三个维度评估企业内 API 测试成熟度：
- 功能测试，用于验证 API 是否按预期设计正常运行
- 兼顾部分安全考量的测试，包含有限安全检查
- 高级测试，系统性地评估 API 滋生的漏洞及实际攻击方法
此外，企业多年来早已深知，在软件开发生命周期 (SDLC) 中执行测试是弥补 API 安全漏洞最关键的步骤之一。尽管认知偏差不及安全漏洞那样引人注目，但其带来的隐患同样不容忽视。
表中所示的差距表明，高级管理层对 API 安全方面的投入可能较为欠缺，因为他们认为漏洞已解决。AI 部署速度压倒安全考量时，DevSecOps 团队往往最先发现漏洞。
高管层过度自信导致专属资源缺乏：仅 1/6 的企业将 API 安全测试完全嵌入 CI/CD 管道，制约了防范滥用和攻击的关键步骤。
维持现状的真实代价
API 安全已不再仅仅是 IT 部门的关切，而是演变为了实质性业务风险。随着攻击者从盗取简单数据转变为破坏核心业务逻辑，企业面临的财务损失大幅拉升。
最新的《API 安全影响研究》揭示了 API 安全事件可能造成的严重后果，具体涵盖以下方面：
- 年度平均损失：700,000 美元/企业
- 受影响最严重的前 25% 企业的年度平均损失：超过 180 万美元
- 造成损失的主要原因：系统维修、停机时间、法律费用
能源和公用事业等行业，平均损失飙升至 860,000 美元。这种损失不仅体现在财务方面，更会严重削弱企业的生产效率。一旦 API 遭到入侵，其支持的应用程序便会陷入停顿，这不仅会引发企业内部严重摩擦，更会导致失去客户信任。
安全负责人和从业人员正越来越清晰地认识到这一严峻形势。近 80% 的企业将 API 安全列为网络安全领域的三大优先事项。
破局之道：转变传统边界思维
为了在 AI 时代生存下来，安全专业人员不仅需要持续关注 API 漏洞，更必须转变思维方式。我们不能再仅仅依赖静态防御，幻想所有 API 均已纳入掌控。企业必须升级自身策略，通过以下方式优先保障 API 层安全：
- 弥补基础监测盲区
- 告别单一的功能测试
- 促进 API 治理规范化
弥补基础监测盲区
告别依赖静态电子表格。企业亟需构建持续自动发现机制，才能实时识别 AI 相关的、影子及僵尸 API。如果您不了解哪些 API 接触个人身份信息 (PII) 或 HIPAA 监管数据，便会面临失去客户和监管机构信任的风险。
告别单一的功能测试
功能测试只能证明 API 可以正常工作，并不能证明它是安全的。在开发阶段，企业必须转向模拟真实攻击方法（例如撞库和 BOLA 攻击）的高级安全测试。
促进 API 治理规范化
API 安全必须纳入正式的合规报告和风险评估中。尽管 95% 的企业表示已将 API 纳入监管要求之中，可真正写进规定报告的比例仅为 38%。实际落地行动必须与合规初衷相契合。
只有 Akamai 才能全方位保护 AI 时代的企业安全
AI 行业竞争激烈，现在夯实安全根基还为时不晚。Akamai 提供所需的全球监测能力和行为情报，能够在 API 滥用侵害源站前，及时识别并予以阻止。专属 API 安全防护与我们的全球网络应用程序和 API 保护相叠加，确保您的 AI 创新建立在弹性强的安全架构之上。
阅读完整报告，获取同行在 AI 技术发展大潮下实现 API 安全的基准数据。
标签
