API安全现状核查：2025年第二季度API威胁统计报告关键发现
API安全从未如此关键。漏洞的数量和严重性都在增长。AI集成成为新兴攻击向量。GraphQL的日益普及带来了隐藏风险。要保护您的组织，必须确保API安全。
请继续阅读我们从Wallarm 2025年第二季度API威胁统计报告中提取的关键要点——并了解您需要采取哪些措施来保护自己。
GraphQL的隐藏风险
70%的组织现在使用GraphQL。然而，2025年第二季度没有报告任何GraphQL特定的数据泄露。如果这听起来可疑，那是因为确实如此。
GraphQL将有效负载大小削减高达99%，并为客户端提供强大、灵活的数据控制。然而，这种相同的灵活性为过度数据暴露、嵌套查询导致的拒绝服务以及解析器级授权绕过打开了大门。
GraphQL风险
更重要的是，考虑到其单一动态端点掩盖了传统安全控制的可见性，可以安全地假设攻击者已经在利用安全性较差的GraphQL部署中的内省、深度嵌套和注入漏洞。
那么为什么2025年第二季度没有GraphQL数据泄露？
这不是因为GraphQL安全；很可能是因为组织未能准确检测和归因数据泄露。传统的API安全工具通常无法支持GraphQL，因此，组织应将其视为需要专门保护的独特API架构类别。这包括：
- 在生产环境中禁用或安全配置内省
- 强制执行查询成本分析和深度限制
- 在字段和解析器级别进行身份验证和授权
- 监控查询模式以发现异常复杂性或访问尝试
API漏洞快速上升——攻击者正在利用它们
API安全日益重要。在2025年第二季度，我们看到与API相关的CVE比第一季度增加了9.8%，4月至6月期间披露了639个漏洞，而第一季度为582个。
当然，我们可以将这一增长的很大一部分归因于生产环境中API数量的增加，但真正的问题是攻击者越来越意识到其固有漏洞——特别是在它们与工具和AI系统集成的方式方面。
从第一季度到第二季度，AI特定的API漏洞再次激增：本季度我们发现了34个直接与AI API相关的CVE，而第一季度仅为19个。这是我们一段时间以来一直在强调的问题，但这里的关键要点是：AI安全就是API安全。
但不仅仅是API漏洞变得越来越普遍，它们也变得越来越严重：
- 大约三分之一的CVE为严重级别，通常允许远程代码执行、令牌泄漏或不安全反序列化
- 另外三分之一被归类为高危，涉及授权绕过和敏感数据暴露等问题
- 剩余的漏洞为中危或低危，但在链式利用或业务逻辑滥用场景中仍然构成风险
而且，尽管与API相关的已知被利用漏洞（KEV）总数从2025年第一季度到第二季度有所下降，但它们在当季所有确认的在野利用中的比例从20%增加到22%。但攻击者是如何利用这些漏洞的？
攻击者无法停止利用的API漏洞
第二季度最常被利用的API漏洞揭示了弱访问控制、令牌处理不当和注入风险的熟悉模式：
- 未认证访问点：几个在野被利用的API漏洞允许无需凭证的访问，突显了暴露端点和默认配置的风险
- 损坏的授权：大多数与API相关的KEV利用了BOLA（损坏的对象级别授权），其中API验证了身份但未能限制对象级别访问
- 令牌滥用和会话劫持：一些API暴露了可重用或升级到更高权限的令牌机制
- 注入和执行漏洞：涉及GraphQL解析器和shell暴露端点的KEV揭示了命令注入或查询清理不足
那么，组织应该做些什么来保护自己？
安全领导者的关键要点
鉴于这些发现，组织应采取以下步骤来保护其API：
获得完整的API可见性
您无法防御盲点。持续发现每个API——内部、外部、AI驱动或影子——并将发现与模式所有权和实时使用监控配对。
锁定您的AI堆栈
保护AI管道的每个阶段，从摄取到推理。禁用默认端点，强制执行细粒度访问控制，并保持编排管道处于监视之下。
加强每一层的身份验证
细粒度访问策略不是可选的。第二季度许多最大的数据泄露发生是因为暴露的API缺乏适当的身份验证或授权。
超越模式进行测试
像模式验证这样的静态检查不再足够。您必须模拟误用以通过基于行为的测试捕获逻辑缺陷、序列滥用和角色升级。
保护完整的API生命周期
如果安全是事后附加的，它就无法工作。在开发早期集成测试，并将其与实时运行时保护配对，以保护从代码到生产的API。