API et IA : le nouveau front industriel des cyberattaques 

Invisible, mais vital. À mesure que l’IA s’impose dans les architectures IT, les API deviennent la colonne vertébrale des échanges de données… et la cible privilégiée des attaquants. Le rapport 2026 d’Akamai acte ce basculement : 87 % des entreprises interrogées déclarent avoir subi un incident de sécurité lié aux API en 2025. Un signal faible devenu bruit de fond. Longtemps reléguées au second plan, les API concentrent désormais les flux critiques des applications, des modèles d’IA et des services numériques. Leur exposition s’accélère avec la multiplication des intégrations et des déploiements rapides, souvent au détriment des contrôles de sécurité. Dans le même temps, les attaques visant les applications web ont progressé de 73 % entre 2023 et 2025, confirmant une convergence des vecteurs d’attaque. Pour les entreprises, la frontière entre applicatif et API s’efface. Pour les attaquants, elle n’a jamais existé. 

Industrialisation des attaques  

Le phénomène dépasse largement la seule hausse des volumes. Les attaques DDoS de couche 7 ont augmenté de 104 % en deux ans, portées par une transformation profonde des modes opératoires. Les cybercriminels industrialisent leurs offensives en s’appuyant sur l’automatisation et, de plus en plus, sur l’IA. Le nombre moyen d’attaques quotidiennes visant les API a ainsi bondi de 113 % en un an, traduisant une logique de répétition et d’optimisation. Ces campagnes, peu coûteuses à produire, sont conçues pour être répliquées à grande échelle avec un minimum d’effort. L’objectif évolue. Il ne s’agit plus uniquement de perturber ou de faire tomber un service, mais d’en dégrader progressivement les performances, d’augmenter les coûts d’infrastructure et d’exploiter les mécanismes d’auto-scalabilité du cloud. Une stratégie d’érosion, discrète mais redoutablement efficace, qui s’inscrit dans la durée et s’adapte en temps réel aux défenses mises en place.  

La cyberattaque : un service comme un autre  

Cette industrialisation s’appuie sur une économie souterraine de plus en plus structurée. Les offres de “DDoS-for-hire" abaissent considérablement la barrière à l’entrée, permettant à des acteurs peu expérimentés de lancer des attaques sophistiquées. La hausse de 104 % des DDoS s’explique en partie par cette démocratisation. En parallèle, des “super botnets” comme Aisuru ou Kimwolf, hérités de l’architecture Mirai, alimentent des écosystèmes DDoSaaS capables de mutualiser les ressources et d’orchestrer des offensives massives. Hacktivistes et cybercriminels convergent dans ces environnements hybrides, où motivations politiques et logiques opportunistes coexistent. Les scripts d’attaque intégrant des briques d’IA facilitent le ciblage des API et des applications web, tout en réduisant les coûts opérationnels. Le modèle économique est rodé. À la demande, scalable, optimisé.  

Nouvelles vulnérabilités du code  

Face à cette mutation, les organisations accusent un retard structurel. Beaucoup continuent de traiter séparément la sécurité des API et celle des applications, créant des angles morts que les attaquants exploitent déjà comme un continuum. Cette fragmentation des approches contraste avec la réalité technique des systèmes modernes. Elle est aggravée par l’essor de nouvelles pratiques de développement, comme le “vibe coding”, qui accélèrent la mise en production mais introduisent des vulnérabilités inédites. Les erreurs de configuration se multiplient, souvent déployées sans phases de test suffisantes. Dans un contexte où 87 % des entreprises ont déjà été touchées, ces failles deviennent des points d’entrée privilégiés. La dette de sécurité ne se limite plus à des correctifs en attente. Elle s’inscrit désormais dans les processus mêmes de production logicielle.