大手サイバーセキュリティー企業Wallarm（ワラーム）は、2025年第2四半期のAPI ThreatStatsレポートにおいて、APIセキュリティーの重要性の高まりに関する洞察を明らかにした。レポートでは、APIの脆弱性が急増していることが明らかにされており、特にGraphQLとAIの統合に関連するリスクに焦点が当てられている。
データクエリー言語であるGraphQLは、現在70%の組織で使用されている。その人気にもかかわらず、2025年第2四半期にはGraphQL特有の侵害は報告されていない。しかし、Wallarmは、これはGraphQLの安全性の問題ではなく、侵害の検出と帰属の不備によるものだと示唆している。レポートでは、GraphQLの単一の動的エンドポイントが従来のセキュリティー対策の可視性を阻害し、セキュリティーが不十分な環境で攻撃者がイントロスペクション、深いネスト、インジェクションの脆弱性を悪用する可能性があると警告している。
本レポートでは、API関連の共通脆弱性識別子（CVE）が大幅に増加していることも指摘している。2025年第2四半期は第1四半期と比較して9.8%増加した。この増加は、実稼働中のAPIの増加と、攻撃者がAPI固有の脆弱性を認識し始めたことに起因している。特に懸念されるのは、AI固有のAPI脆弱性の急増だ。第2四半期には34件のCVEが特定され、第1四半期の19件から増加している。
API脆弱性の深刻度も上昇している。全CVEの約3分の1は「緊急」に分類され、リモートコード実行、トークン漏洩、または安全でないデシリアライゼーションを可能にする。残りの3分の1は「高」に分類され、認証バイパスや機密データの漏洩といった問題が伴う。残りの脆弱性は「中」または「低」に分類されているが、連鎖的なエクスプロイトやビジネスロジックの悪用シナリオと組み合わさると、依然としてリスクをもたらす。
これらの調査結果を受けて、Wallarmは組織がAPIを保護するためのいくつかのステップを推奨している。具体的には、APIの完全な可視性の確保、AIパイプラインのあらゆる段階のセキュリティー確保、各レイヤーでの認証強化、スキーマを超えたテスト、そして開発初期段階でのテストの統合によるコードから本番環境までのAPIの保護などが挙げられる。
出典：Wallarm
この製品の詳細については、Wallarm製品ページをご覧ください。
