L'API draining è l'uso ripetuto di un'interfaccia di programmazione delle applicazioni legittima fino a esaurirne la quota, consumare i crediti prepagati o far aumentare l'utilizzo fatturato. A differenza di un exploit diretto, le richieste stesse possono sembrare valide: chi le invia può avere una chiave reale, seguire le normali regole di autenticazione e comunque generare un carico di costo dannoso inviando traffico su larga scala.
Nella sicurezza informatica, l'API draining è importante perché trasforma l'accesso in spesa. Gli aggressori possono abusare delle API di IA, cloud o SaaS per consumare token, limiti di frequenza e budget dell'account, a volte come modo per interrompere i servizi o nascondersi all'interno di attività apparentemente ordinarie. I difensori cercano volumi di richieste insoliti, tempistiche strane, chiamate ripetute a basso valore e picchi di fatturazione inattesi. Gli avvisi su esaurimento della quota, anomalie di spesa e utilizzo per chiave possono aiutare a fermare l'abuso prima che diventi un drenaggio finanziario.