A adoção de IA redefiniu fundamentalmente o papel das APIs. Elas não são mais apenas canais para dados; tornaram-se o “plano de ação de IA” para sistemas autônomos. Cada fluxo de trabalho, agente e chamada de ferramenta de IA agora depende de uma API, expondo uma verdade crítica: não é possível proteger a IA sem antes proteger suas APIs. O relatório State of API Security H2 2025 revela que essa dependência está superando perigosamente as práticas de segurança atuais. As descobertas não são um aviso para o futuro; são uma ameaça clara e presente aos negócios. As evidências mostram que lacunas de visibilidade e governança fraca já estão atrapalhando a velocidade da IA, com metade de todas as organizações tendo atrasado ou interrompido o lançamento de uma nova aplicação devido a riscos de API, e uma em cada três sofrendo um incidente de segurança relacionado a API no último ano.
O Novo Manual do Atacante: Autenticado e Automatizado
À medida que agentes e protocolos de IA, como o MCP, aceleram a automação, eles também aumentam a exposição ao risco. Nossa pesquisa do Salt Labs confirma que os atacantes adaptaram seu manual a essa nova realidade, tornando a segurança de perímetro tradicional irrelevante.
- A principal ameaça agora é autenticada e interna. Impressionantes 96% das tentativas de ataque originam-se de entidades autenticadas, como usuários comprometidos, pessoas de dentro ou agentes de IA mal-intencionados.
- Os atacantes estão visando APIs expostas externamente e explorando as vulnerabilidades mais comuns. Os vetores dominantes mapeiam diretamente para o OWASP Top 10, com Configuração Incorreta de Segurança (API8) representando 78% dos ataques e Quebra de Autorização em Nível de Objeto (BOLA/API1) logo atrás, com 10%.
Em um ambiente automatizado, esses problemas são amplificados, deixando de ser apenas bugs graves para se tornarem oportunidades de abuso sistêmico de agentes. A autenticação, por si só, não será suficiente.
O Imperativo da IA: Construindo sobre uma Base Instável
O impulso em direção à IA está alimentando essa tendência. As organizações estão expandindo rapidamente seus portfólios de APIs para dar suporte a iniciativas essenciais de IA, como aprendizado de máquina e agentes autônomos. A adoção já é generalizada, com quase dois terços das organizações utilizando Inteligência Artificial Generativa (GenAI) em pelo menos parte do desenvolvimento de suas APIs.
O perigo é que esse desenvolvimento rápido, impulsionado pela IA, está sendo construído sobre uma base que apresenta as mesmas lacunas críticas de segurança observadas ao longo de todo o ano.
- Um número expressivo de 80% das organizações ainda não possui monitoramento contínuo de APIs em tempo real.
- A confiança nos inventários de APIs permanece perigosamente baixa, com apenas uma pequena fração das organizações (19%) afirmando estar "muito confiante" na precisão de seus inventários.
A Crise de Confiança: despreparados para ameaças impulsionadas por IA
Embora as organizações estejam adotando a GenAI para o desenvolvimento, elas estão, simultaneamente, despreparadas para os riscos que ela introduz. Uma clara maioria agora percebe a GenAI como uma preocupação de segurança crescente. Seus principais temores concentram-se na falta de controle sobre a segurança dos modelos de IA e na dificuldade de proteger o código gerado por IA.
Essa ansiedade é justificada. Existe uma lacuna significativa de prontidão no que diz respeito à defesa, com apenas 15% dos profissionais de segurança sentindo-se "muito confiantes" em sua capacidade de detectar e responder a ataques que utilizam GenAI.
Um Novo Manual para a Era da IA
A economia de agentes de IA exige um novo manual de segurança — um que seja proativo, abrangente e construído para a velocidade da inovação automatizada.
- Exija um inventário de API em tempo real: Você não pode governar o que não consegue ver. Com a IA generativa pronta para aumentar drasticamente a escala de criação e uso de APIs, um inventário dinâmico e automatizado é um controle fundamental para mitigar o risco de APIs ocultas e não documentadas.
- Mude o foco da autenticação para a autorização: Como a grande maioria dos ataques provém de fontes autenticadas, o foco deve mudar para o que os usuários podem fazer após o login. Isso requer proteção robusta em tempo de execução, detecção de anomalias comportamentais e um forte modelo de governança de postura para evitar as configurações incorretas que os invasores estão explorando ativamente.
- Governe a IA generativa, não apenas reaja a ela: Com a maioria das organizações já utilizando ou planejando utilizar IA generativa, a segurança deve passar de revisões de código reativas para uma governança proativa. Isso inclui estabelecer estruturas formais para a adoção segura de IA, exigir treinamento para desenvolvedores e utilizar ferramentas especializadas de segurança de IA.
- Meça o ROI da segurança como um facilitador de inovação: O valor da segurança de API na era da IA reside na sua capacidade de permitir que a empresa avance de forma rápida e segura. Organizações líderes medem o ROI por meio de métricas como uma postura de conformidade aprimorada, economia de custos com a prevenção de violações e aumento da produtividade dos desenvolvedores.
A implementação deste novo manual requer uma estratégia clara e um método para medir o seu progresso. Conforme descrito em Além do hype: O manual do CISO para proteger a empresa baseada em agentes, os líderes de segurança devem começar fazendo perguntas críticas, como: Se nossas equipes implantarem 10 novos agentes de IA amanhã, quanto tempo levaria para descobrir as novas APIs que eles estão usando?. Para ajudar a responder a essas perguntas e avaliar suas capacidades atuais, você pode usar o Checklist de prontidão de segurança para agentes de IA e MCP para realizar uma avaliação rápida da postura da sua organização em relação à descoberta, governança e proteção contra ameaças.
Obtenha o novo manual
A revolução da IA chegou, e ela é uma revolução de APIs. Proteger suas APIs não é mais apenas uma tarefa técnica; é o plano de ação fundamental para toda a sua estratégia de IA e um requisito crítico para cumprir regulamentações emergentes, como o EU AI Act, e normas como a ISO/IEC 42001.
Baixe o relatório completo State of API Security do segundo semestre de 2025 para obter todos os dados e insights necessários para proteger sua inovação.