AI热榜 当企业讨论 AI 落地时，最先被摆上台面的通常是效率、成本和业务创新。
客服能不能自动回复，研发能不能提效，知识库能不能被调用，工单能不能自动流转，销售、财务、HR 能不能接入大模型工具。
但在这些问题背后，还有一个更基础的环节：API。
近日，Akamai 北亚区技术总监刘烨在一次公开分享中提到了该公司关于 API 安全的调研结果。
相比传统安全报告中常见的漏洞、攻击流量、DDoS 等话题，这份报告更值得关注的地方在于，它把 API 安全和 AI 应用放到了一起讨论。
原因并不复杂。
无论是大模型、AI Agent，还是接入了大模型能力的智能客服、聊天机器人、企业知识库和业务系统，本质上都需要通过 API 与数据、系统、外部工具发生交互。
过去，API 更多是系统之间的接口；现在，它正在成为 AI 调用企业能力、触达内部数据、执行任务的通道。
换句话说，AI 能不能真正进入企业工作流，很大程度上取决于 API；而 AI 一旦被攻击者利用，风险也很可能沿着 API 扩散。
根据 Akamai 披露的亚太专题调研数据，过去 12 个月里，81%的亚太地区受访企业遭遇过 API 安全事件；在各类 API 安全攻击中，43%的攻击针对 AI 应用、大语言模型相关 API；亚太地区每一起 API 安全事件造成的平均经济损失超过 100 万美元，其中日本企业损失均值最高。
这组数据至少说明两件事。
第一，API 安全已经不是少数技术团队内部的问题，而是会造成实际经济损失的企业风险。
第二，AI 相关 API 正在快速进入攻击者视野。
刘烨提到，在亚太地区常见的 API 安全事件类型中，AI 相关 API 攻击排在前列。
其后还包括权限控制缺失或不足、数据泄露、未受管理的 API，以及 API 错误配置。
这些风险本身并不新。
比如越权访问一直是 API 安全中最常见的问题之一，攻击者可能只是修改 URL 参数、Token 值或对象 ID，就能看到不属于自己的数据。
数据泄露也并不罕见，API 在返回信息时，可能把敏感字段一并带出。
Shadow API、僵尸 API 则来自开发和运维流程中的失控：曾经上线、内部使用、无人维护或没有纳入统一管理的接口，最终都可能成为攻击入口。
不同的是，AI 把这些老问题放大了。
🔗 原始来源
如果你要核对细节，可以再看原文： InfoQ AI原文链接