API安全的主要危险信号

您并不清楚所有API位于何处

• API蔓延现象普遍存在，程度令人震惊。根据《Datos API安全解决方案评估指南》，到2030年，投入使用的API数量将超过20亿个，而目前各组织平均已使用超过20,000个API。
• API端点带来了独特的挑战。根据F5的《2024年应用策略现状报告》，“单个API可能有数十甚至数百个端点。”更复杂的是，组织可能无法完全控制所有与其系统交互的API。
• Postman的《2023年API现状报告》指出了使用API时面临的以下障碍：
  • 缺少文档（52%）
  • 难以发现API（32%）

贵组织的攻击面尚不明确

• 《Datos API Security Solution Evaluation Guide》阐明了核心问题：“全面梳理API攻击面对于保护API至关重要。CISO无法保护未知的对象。需要通过API发现来识别影子API、孤立API、版本过旧的API和陈旧API。”
• API对任何现代企业都至关重要。正如Venture Beat所述：“API占所有Web流量的91%，既顺应了微服务架构的发展趋势，也满足了企业动态应对快速变化的市场环境的需求。”
• 正因为API发挥着关键作用，它们也成为网络犯罪分子的常见攻击目标。90%的Web网络攻击以API端点为目标，因源自API的攻击而遭泄露的记录已超过10亿条。

您的安全技术栈过于复杂

• 如今，应用和API正部署在混合多云环境中。根据《2024年应用策略现状报告》，近90%的组织采用混合部署模式，包括SaaS、公有云/IaaS、本地部署（传统环境）、本地部署（私有云）、托管和边缘环境。
• 根据同一份报告：采用6种不同部署模式的组织数量从2023年到2024年增长了近20%。
• 66%的大型企业（员工人数超过10,000人）通常使用60–80种安全工具，部分原因是需要使用专用工具来满足多个云环境中的特定需求。

安全态势维护过于依赖手动操作

• 面对如此众多的API和端点，手动更新安全措施难以持续。API安全自动化可以大幅减少手动更新需求，相关成效可参见这篇McGraw Hill案例研究，其中记录了该公司为降低每月1,800万次API请求的管理复杂性所采取的措施。
• 应用策略现状调查受访者表示，在应对零日攻击时，手动修补和更新的速度不够快。许多决策者指出，攻击一旦得逞，代价高昂，因此应用和API安全自动化必不可少。为此，过去一年中，应用和API自动化的采用率从33%升至43%。已发布的CVE数量正在加速增长，F5 Labs研究人员预计将发布500个新CVE，2025年通常每周都会达到这一数量。
• 生成式AI的日益普及也会影响应用和API安全；生成式AI在安全领域的主要用例是根据检测到的威胁自动调整安全策略并生成安全配置。

您担心如何保障AI应用的安全

• 保护生成式AI，首先要打好应用和API安全基础。Google云开发者倡导者Mete Atamel对此作出了简明概括：“无论以何种方式使用生成式AI，归根结底，都是通过SDK、库或REST API调用端点。”
• 在OpenAI GPT Store推出两个月后，用户已创建超过300万个ChatGPT自定义版本，这表明保障第三方提供商安全所面临的挑战规模之大。
• IDC报告称：“66%的受访者指出，生成式AI以及更广泛的公有和私有AI工作负载是其主要用例之一。”IDC发现：“大多数企业AI应用在实施时高度分布式，需要进行数十至数百次API交互，并以高可用且安全的方式跨越各种公有云、专用云、本地基础设施和应用环境。”F5研究人员还发现，大多数组织预计将在混合云和多云环境中部署AI应用；《应用策略现状调查》的受访者表示，他们会将AI应用部署在公有云（80%）和本地环境（54%）中。