Secu
Les API, nouvel angle mort de la cybersécurité à l’heure de l’IA
Par Laurent Delattre, publié le 10 août 2026
L’IA agentique a besoin d’API pour accéder aux données et agir dans le système d’information. Mais à mesure qu’elles prolifèrent, ces portes d’entrée deviennent aussi l’un des nouveaux angles morts de la cybersécurité. Et en matière de sécurité des API, les entreprises semblent courir derrière leurs propres infrastructures si l’on en croit le dernier rapport Akamai.
Un rapport d’Akamai pointe la vogue des intrusions passant par les API, désormais devenues des cibles privilégiées des attaquants. En cause, notamment, la multiplication de ces interfaces à mesure que les entreprises généralisent cloud, automatisation et intelligence artificielle. « La convergence rapide entre l’adoption de l’IA et la prolifération des API a fait émerger des vulnérabilités critiques dans l’écosystème des entreprises de la région EMEA », résume Akamai.
Dans son étude, le spécialiste de la cybersécurité et du cloud computing passe trois marchés européens au crible (Allemagne, France et Royaume-Uni) en interrogeant 540 décideurs et professionnels de la sécurité issus des directions, de l’AppSec et du DevSecOps.
Résultat : 88 % des entreprises répondantes ont été confrontées à au moins un incident de sécurité lié aux API au cours des douze derniers mois. Le Royaume-Uni atteint même 94 %, contre 88 % en France et 83 % en Allemagne.
Ce score français traduit, selon Akamai, un écart préoccupant entre la confiance affichée par les organisations et leur réalité technique.
Car la croissance des API dépasse leur capacité à les sécuriser, dans un contexte de complexité et de manque de visibilité croissants. Sur l’ensemble des trois pays, 77 % des répondants assurent ainsi disposer d’un inventaire complet de leurs API.
Mais 22 % seulement savent lesquelles renvoient des données sensibles. Et la France fait moins bien encore, avec 18 %, contre 19 % au Royaume-Uni et 30 % en Allemagne.
L’IA accélère aussi la surface d’attaque
L’explosion de l’IA générative ne fait qu’accentuer le phénomène. Les API constituent en effet la plomberie qui permet aux applications, agents et grands modèles de langage d’accéder à des données, de dialoguer avec d’autres systèmes ou de déclencher des actions. Plus les entreprises ajoutent de fonctions d’IA à leurs applications et à leurs processus, plus elles multiplient ces connexions et donc les points susceptibles d’être mal configurés, insuffisamment protégés ou simplement oubliés.
En EMEA, 36 % des entreprises ayant subi un incident citent des attaques contre des API liées à leurs technologies d’IA. En France, ces attaques arrivent en tête des incidents à égalité avec les fuites ou violations de données via des API, à 36 % chacune. Et lorsqu’on interroge spécifiquement les Français sur les API communiquant avec des LLM, 54 % placent parmi leurs principales inquiétudes la fuite ou l’exfiltration de données sensibles et 44 % les injections de prompts susceptibles de conduire une API à exécuter une action à partir d’une instruction malveillante.
Les causes restent pourtant souvent beaucoup plus classiques que les scénarios d’attaque associés à l’IA. Les erreurs de configuration arrivent en tête dans 54 % des cas en EMEA et dans 58 % des cas en France, devant l’insuffisance des contrôles d’authentification et les vulnérabilités d’autorisation. Autrement dit, les technologies évoluent très vite mais nombre d’incidents continuent de s’appuyer sur des faiblesses de sécurité fondamentales.
Des protections traditionnelles qui atteignent leurs limites
L’étude pointe aussi un décalage entre la place prise par les API et les moyens consacrés spécifiquement à leur protection.
Seulement 25 % des répondants EMEA déclarent pratiquer des tests de sécurité avancés sur leurs API et à peine 11 % avoir complètement intégré ces tests au cycle de développement logiciel et aux chaînes CI/CD. Pourtant, près de quatre organisations sur cinq utilisent un WAF.
En comparaison, 37 % seulement disposent d’un outil dédié à la sécurité des API et 36 % d’une plateforme WAAP.
Pour Akamai, le sujet n’est donc pas de remplacer les défenses périmétriques, mais de les compléter par davantage de découverte automatique, d’inventaire, de contrôle à l’exécution et de tests spécifiquement adaptés aux API. Une nécessité d’autant plus pressante que l’étude mondiale recense désormais un parc médian supérieur à 5 900 API par entreprise, et plus de 29 000 pour le quart des organisations les plus équipées.
La facture commence enfin à être suffisamment élevée pour transformer la question technique en sujet de direction générale. Parmi les entreprises EMEA touchées, 44 % déclarent avoir subi au moins quatre incidents en douze mois. Akamai chiffre leur impact financier moyen à environ 590 000 dollars, avec de fortes différences : 782 121 dollars au Royaume-Uni, 540 041 dollars en Allemagne et 458 471 dollars en France. Aux coûts de réparation s’ajoutent les pertes de productivité, les interruptions de service, l’atteinte à la réputation ou encore la perte de clients
Les API n’ont bien sûr rien d’une nouvelle technologie. Mais leur prolifération, combinée à l’essor de l’IA, est en train de changer leur statut : de simple composant d’intégration, elles deviennent l’un des principaux points de contrôle et potentiellement de faiblesse du système d’information moderne.
À LIRE AUSSI :
À LIRE AUSSI :
