رابط‌های برنامه‌نویسی کاربردی (API) امروزه به عنوان «لوله‌کشی» دنیای فناوری اطلاعات شناخته می‌شوند که زیرساخت‌های مالی، خودروها و خدمات ابری را متصل می‌کنند. با این حال، این رابط‌ها که مسیرهای اصلی ورود به شبکه‌های سازمانی هستند، به دلیل شتاب در توسعه، به نقاط ضعف استراتژیک تبدیل شده‌اند.
تحلیل‌های فنی نشان می‌دهند که استفاده از عوامل هوش مصنوعی (AI agents) برای تولید سریع کدها — که اصطلاحاً «vibe-coded» نامیده می‌شود — منجر به نادیده گرفتن اصول امنیتی نظیر «امنیت در طراحی» (Secure by Design) و «انتقال امنیت به سمت چپ» (Shift Left) شده است. این رویکرد باعث شده تا APIها با وجود سرعت بالای توسعه، مملو از آسیب‌پذیری‌های نرم‌افزاری باشند.
آسیب‌پذیری BOLA و چالش مدیریت دسترسی
یکی از بحرانی‌ترین تهدیداتی که در این میان شناسایی شده، نقص در سطح مجوزدهی اشیاء (Broken Object Level Authorization یا BOLA) است. در واقعیت، بسیاری از سیستم‌ها در بخش احراز هویت (Authentication) عملکرد خوبی دارند، اما در بخش تعیین سطح دسترسی یا مجوزدهی (Authorization) دچار شکست می‌شوند.
در یک نمایش عملی، یک گروه از عوامل هوش مصنوعی (AI swarm) توانستند با استفاده از یک توکن حامل (Bearer Token) که برای دسترسی به یک ماهواره خاص صادر شده بود، کنترل سایر ماهواره‌ها را نیز در اختیار بگیرند. این نشان می‌دهد که یک کاربر یا سیستم با داشتن دسترسی محدود، می‌تواند به دلیل نقص در BOLA، به منابعی که مجاز به آن‌ها نیست دسترسی پیدا کند.
تأثیر بر زیرساخت‌های ابری و حیاتی
این نوع آسیب‌پذیری‌ها در داشبوردهای مدیریت ابری نیز بسیار رایج هستند. در چنین سناریوهایی، یک کاربر احراز هویت شده که تنها مجاز به مدیریت یک منبع خاص است، می‌تواند با سوءاستفاده از نقص‌های BOLA، کنترل سایر منابع حساس را نیز به دست بگیرد. این موضوع، امنیت زیرساخت‌های حیاتی و سیستم‌های مدیریت ماهواره‌ای را با تهدیدی جدی روبرو می‌کند.
