AI導入の加速でAPIセキュリティリスクが増大

組織が自律型エージェントや生成AIツールを大規模に導入するなか、APIは現代の業務運用を支える中核となり、拡大を続ける攻撃対象領域を生み出している。

企業はAIとAPI主導のアーキテクチャを急速に採用しているが、Salt Securityの新たなレポートは、セキュリティ対策が追いついていないことを明らかにした。

「AIの未来は、システムがどれほど賢くなるかだけで決まるものではない。システムにどれだけ安全に行動を許可できるかによって決まる」と、Salt Securityの共同創業者兼CEOであるRoey Eliyahu氏は、eSecurityPlanetへのメールで述べた。

同氏はさらに、「当社の2026年上期の調査では、47%の組織がセキュリティ上の懸念から、すでにAI導入を減速させていることが分かった。これは、適切な基盤なしに構築を進めることの代償だ」と述べた。

レポートの主な調査結果は、拡大するセキュリティギャップを浮き彫りにしている。

AIの成長がAPIセキュリティを上回る

調査結果は、急速なイノベーションと、それを安全に保護する能力とのギャップが拡大していることを示している。

組織がAI導入を加速させる一方で、複雑化する機械主導の環境を管理するために必要な可視性と制御を欠いている企業も多い。

組織のほぼ半数（49%）が、マシン間通信を効果的に監視できないと回答している一方、48%は正規のAIエージェントと悪意のあるボットの識別に苦慮しており、検知と対応に大きな死角を生み出している。

APIがAIの実行レイヤーに

同時に、APIは統合ポイントという従来の役割をはるかに超えて進化している。

レポートは、APIが現在、AIシステムの実行レイヤーとして機能し、データ取得から自動意思決定まで、あらゆる処理を可能にしていると強調している。

この変化により、APIセキュリティは技術的な懸念から戦略的な優先課題へと格上げされ、APIエコシステム全体にわたる、より強固なガバナンス、継続的な監視、可視性向上の必要性が浮き彫りになっている。

APIの増加が攻撃対象領域を拡大

この課題は、APIの急速な増加によってさらに深刻化している。デジタルトランスフォーメーションとAI導入を背景に、組織のほぼ半数が過去1年間でAPI数が51%増加したと回答している。

この拡大はイノベーションを促進する一方で、攻撃対象領域も拡大させる。

その結果、32%の組織が過去12カ月間にAPI関連のセキュリティインシデントを経験しており、機密データの露出、認証の失敗、悪用可能な脆弱性などが一般的な問題となっている。

生成AIが新たなセキュリティリスクをもたらす

生成AIは、開発とリスクの双方をさらに加速させている。

現在、69%の組織がAPIの構築にAIを利用している一方、60%は、コードを生成するAIモデルのセキュリティを十分に制御できていないと回答している。

さらに、57%が、AI生成コードによって新たな脆弱性が持ち込まれることを懸念している。

SASTやDASTなどの従来型セキュリティツールは、AIが生成したロジックや複雑なAPI連携を評価するために必要なコンテキスト認識を欠いているため、この変化への対応が難しいことが多い。

攻撃者が認証済みアクセスへ移行

一方、攻撃者の行動も同じように急速に変化している。

脅威アクターは外部からの侵害に頼るのではなく、認証済みアクセスを悪用するケースを増やしている。

レポートによると、攻撃試行の99%は認証済みのエンティティから発生しており、侵害されたマシンID、過剰な権限を持つAIエージェント、乗っ取られた自動ワークフローなどがその多くを占めている。

この傾向は従来の境界ベースの防御を弱体化させ、継続的な検証と振る舞いの監視の必要性を浮き彫りにしている。

一般的なAPIの弱点がAIによって増幅

こうしたインシデントの多くの根底には、従来から存在するものの、今や増幅されているAPIセキュリティの問題がある。

設定ミスと認可の欠陥は、依然として主要なリスクだ。

権限を過剰に付与したAPIは、AIエージェントに意図せず機密データへのアクセスを許してしまう可能性がある。また、オブジェクトレベル認可の不備（BOLA）などの脆弱性は、連鎖したAPI呼び出しを通じて悪用され、大規模な攻撃を自動化される恐れがある。

AI主導の環境では、速度と規模によってこうしたリスクが増幅される。

自動化により、攻撃者と侵害されたエージェントの双方が数ミリ秒で行動できるため、小さな脆弱性でさえ全社的なインシデントへと発展する可能性がある。

そのため組織は、APIセキュリティを静的なレイヤーではなく、自律型システムの動作と相互作用を統制する動的なコントロールプレーンとして捉え直す必要がある。

APIセキュリティリスクを低減する方法

APIエコシステムが拡大し、AI主導の自動化が企業運営により深く組み込まれるなか、従来のセキュリティアプローチではもはや十分ではない。

組織は、マシン間の相互作用と自律的な挙動を考慮した、よりプロアクティブで継続的なセキュリティモデルを採用する必要がある。

これには、API活動の可視性を高めるだけでなく、開発、アイデンティティ、ランタイムの各環境にわたる、より強固な制御も必要となる。

• リアルタイムAPI監視を実装し、異常な挙動と機械主導の脅威を検知する。
• 動的で自動化されたAPIインベントリを維持し、シャドーエンドポイントや文書化されていないエンドポイントを特定する。
• AI生成コードを、検証とガードレールを開発パイプラインに組み込むことで保護する。
• 強固な認証と認可を徹底し、最小権限とゼロトラスト原則に基づいてマシンIDを管理する。
• 適用振る舞い分析とランタイム保護を行い、悪意のあるAIエージェントの活動を検知・防止する。
• 管理APIキーとトークンをローテーション、短い有効期間、継続的な利用状況の監視によって管理する。
• テストインシデント対応計画を行い、攻撃シミュレーションツールを、API攻撃やAI主導の攻撃を想定したシナリオで活用する。

こうした制御を実装することで、組織はAPIエコシステムにレジリエンスを組み込み、悪用が発生した場合の被害範囲を抑えられる。

AIセキュリティにおけるAPIの役割が拡大

エージェント型AIの台頭は、企業セキュリティに対する組織の考え方を変えつつあり、APIはシステムが通信し動作するための基盤として、ますます重要な役割を担っている。

APIが自動化やAI主導のワークフローを可能にする中心的な役割を担うようになるなか、そのセキュリティの不備を適切に管理できなければ、より広範な運用上およびデータ上のリスクを招く可能性がある。

同時に、効果的なAPIセキュリティはイノベーションを促進する重要な要素になりつつある。

最新のAPI中心型セキュリティアプローチに投資する組織は、AIを安心して導入し、開発速度を維持するうえで有利な立場にある。特に、47%の組織がAPIセキュリティ上の懸念からアプリケーションのリリースを延期したと回答していることを考えれば、その重要性は大きい。

組織が自動化の進む環境でAPIセキュリティの強化に取り組むなか、継続的なID検証とマシン間の相互作用に伴うリスクの適切な管理を支援するゼロトラストソリューションを導入する企業も増えている。