Un'API non autenticata è un'interfaccia applicativa che elabora richieste senza prima verificare chi la sta chiamando. Può comunque essere protetta dal posizionamento nella rete, ma non richiede un accesso, un token, una chiave API o un altro controllo dell'identità prima di accettare comandi o restituire dati.
Nel campo della sicurezza informatica, questo è importante perché una superficie di controllo esposta può essere abusata da qualsiasi cosa riesca a raggiungerla: uno script, un browser, un processo locale o un attaccante remoto che trova un percorso di rete verso di essa. Negli stack locali di IA e automazione, un'API non autenticata può consentire a contenuti web o malware di inviare prompt, modificare impostazioni o attivare strumenti se il servizio è esposto tramite una cattiva configurazione di localhost, proxying o DNS rebinding. I difensori riducono il rischio richiedendo l'autenticazione, vincolando i servizi solo al loopback quando previsto e testando il percorso di distribuzione effettivo invece di presumere che l'interfaccia sia privata.