Ang default na API programme sa maraming regulated platforms ay mukhang isang factory floor pa rin. Isang hyperscaler-native o heavily proprietary gateway ang nakaupo sa edge. Ang mga espesyalista ay gumugugol ng kanilang mga linggo sa pag-compose ng XML proxy bundles, shared flows at proprietary transformation scripts. Ang seguridad ay idineklara na “tapos” kapag naka-check na ang isang token at na-apply na ang isang coarse product entitlement. Sa likod ng gate na iyon, ang service-to-service calls, agent tools at field-level data paths ay tumatakbo na may mas mahinang controls. Ang resulta ay lock-in nang walang resilience: hindi mo malilipat nang malinis ang control plane sa iba’t ibang cloud, hindi mo mapupuno ang platform nang walang bihirang XML-and-certification caste at hindi mo maikaklaim ang zero trust kapag tumigil ang authorisation sa front door.
Ang pattern na iyon ay hindi na lamang magulo. Iniulat ng Akamai’s 2026 API Security Impact Study na 87 porsyento ng mga organisasyon ay nakaranas ng API security incident sa nakaraang taon, mula sa 76 porsyento noong 2022, na may top-quartile na taunang gastos na higit sa US$1.8 milyon. Natuklasan ng Salt Security’s 1H 2026 research na 32 porsyento ng mga organisasyon ay nakaranas ng API security incident, 47 porsyento ang nag-antala ng deployments dahil sa mga alalahanin sa API security at halos lahat ng sinusuri na pag-atake ay nagmula sa authenticated sources. Ang misconfiguration at broken authorisation ang namamayani sa OWASP API Security Top 10 attack surface. Hindi nakakaligtas ang perimeter theatre sa ebidensyang iyon. Ang progressive enforcement ang nakakaligtas.
Ang halaga ng pagpapanatiling bukas ng XML factory
Ang Apigee at MuleSoft ang pinakamalinaw na anti-patterns para sa mga operator na nagsasabi na gusto nila ng multi-cloud freedom. Ang policy model ng Apigee ay nakasentro sa proprietary XML proxy bundles, shared flows at Java o sandboxed JavaScript callouts na hindi lumilipat sa ibang gateway. Nananatili ang control plane ng Apigee X sa Google Cloud kahit na naka-deploy ang hybrid data plane sa ibang lugar; ang pagtulak ng Apigee Edge for Private Cloud patungo sa Apigee X ay nagpapalalim sa coupling na iyon para sa mga organisasyon na dating naniniwala na may exit sila. Pinapalala ng MuleSoft ang problema sa DataWeave at isang certified-developer labour market: ang mga transformations at connector logic ay nagiging assets na tumatakbo lamang sa loob ng isang runtime. Hindi “masamang software” ang alinman sa dalawang platform. Pareho silang nag-encode ng operating model ng specialised headcount, verbose configuration at migration costs na tumataas sa bawat quarter na patuloy kang namumuhunan.
Ang commercial cost ng pagwalang-gawa ay hindi lamang isang licence line. Ito ay ang opportunity cost ng platform engineers na hindi makakasabay sa cloud strategy ng organisasyon, ang audit finding na ang east-west traffic ay hindi kailanman nasa ilalim ng parehong policy graph tulad ng north-south at ang product delay kapag ang bawat bagong API ay naghihintay sa isang bihirang Apigee o MuleSoft specialist sa halip na isang declarative pipeline na maaaring i-propose ng isang agent at aprubahan ng tao. Nagdaragdag ng pangalawang bitag ang hyperscaler-native gateways: mukhang mura sila laban sa committed cloud spend hanggang sa isang pangalawang region, pangalawang cloud o divestiture ang magpilit ng rewrite. Hindi mo binili ang portability. Inupahan mo ang convenience na nawawala sa ilalim ng regulatory o commercial pressure.
Portable gateways at isang agent-shaped security model
Ang escape hatch ay nasa parehong marketplaces na ginagamit na ng procurement teams. Nakalista ang Kong Konnect sa AWS, Microsoft Azure at Google Cloud marketplaces, na may Dedicated Cloud Gateways na maaaring i-provision sa mga provider na iyon. Available ang Tyk sa AWS Marketplace para sa cloud, hybrid at self-managed footprints, na may Azure Marketplace images at documented self-managed paths sa Google Cloud. Pareho silang tumatakbo bilang open, standards-leaning platforms sa halip na XML factories. Ang configuration ay may tendensya patungo sa declarative APIs, plugins, OpenAPI-aligned design at policy na maaaring mabuhay sa Git. Iyon ang substrate na kailangan ng AI agents: mga artefact na maaari nilang i-generate, i-diff, i-test at i-roll back nang walang cottage industry ng hand-edited proxy XML.
Hindi ito isang brochure para sa alinman sa mga vendor. Ito ay isang argumento tungkol sa labour at leverage. Nagbago na ang engineering paradigm. Hindi mo gustong libu-libong low-skilled workers ang nagpapanatili ng Apigee XML. Gusto mo ng isang manipis na platform team na nagdedefine ng policy intent, kasama ang AI agents na nag-draft ng routes, plugins, mesh policies at regression tests laban sa intent na iyon. Ang mga tao ay nagre-review ng risk, nag-a-approve ng high-impact changes at nagmamay-ari ng audit trail. Ginagawa ng mga agent ang repetitive build, configure at test loop. Ang Kong at Tyk ay akma sa modelong iyon dahil ang kanilang surfaces ay programmable at portable. Ang Apigee at MuleSoft ay akma sa kabaligtaran na modelo: specialised syntax, proprietary runtimes at mga tao na naka-scale bilang pangunahing automation layer.
Dapat holistic ang seguridad o ito ay teatro lamang. Ang Kong Mesh, na itinayo sa CNCF Sandbox project na Kuma, ay nagpapalawak ng parehong pilosopiya sa east-west: Envoy-based mesh sa Kubernetes at VMs, multi-zone control at embedded Open Policy Agent support upang ang Rego policies ay lumilipat kasama ng data plane sa halip na isa pang sidecar farm. Sa gateway side, ang Ping Identity’s PingAuthorize ay nag-i-integrate sa Kong Gateway sa pamamagitan ng ping-auth plugin para sa attribute-based decisions at sideband enforcement. Nananatiling open standard ang Open Policy Agent para sa maraming coarse at fine checks. Ang punto ay hindi kung aling brand ang mananalo sa bake-off. Ang punto ay progressive enforcement sa portable machinery: authentication sa edge, coarse authorisation sa products at roles, fine authorisation sa objects at actions, pagkatapos ay field-level policy at audit para sa sensitive attributes, na inilalapat muli sa loob ng mesh para sa service-to-service calls. Pinakamataas na utility para sa legitimate traffic. Zero trust para sa lahat ng iba pa.
Bakit dapat magbago ngayon ang operating model
Tatlong pressures ang dumarating nang sabay. Una, ang API estates ay lumalaki nang mabilis sa ilalim ng automation at agentic clients. Iniulat ng Salt’s 1H 2026 survey na dalawang-katlo ng mga organisasyon ay nakakita ng API growth na higit sa 50 porsyento sa isang taon, habang kakaunti lamang ang nag-aangkin ng advanced API security maturity. Pangalawa, lalong dumarating ang mga attacker na may valid credentials. Ang authenticated abuse, broken object-level authorisation at misconfiguration ang mga working methods; ang isang gateway na tanging tinitingnan kung may token ay sumasagot sa tanong kahapon. Pangatlo, ang multi-cloud at sovereignty programmes ay hindi na opsyonal na usapan para sa mga bangko at insurance company. Ang isang control plane na tunay na nabubuhay lamang sa isang hyperscaler ay isang strategy risk na nakadamit bilang integration project.
Lumipat na ang talent market kasama ang tooling. Ang XML-and-certification factories ay nakikipagkumpitensya para sa isang lumiliit na pool at nagte-train ng mga skills na hindi lumilipat. Ang declarative gateways, Rego, OpenAPI at mesh policies ay nagte-train ng mga skills na lumilipat sa iba’t ibang cloud at vendor. Ang AI coding at ops agents ay nagpapalakas sa pangalawang stack at nahihirapan sa una. Ang paghihintay sa susunod na major version ng Apigee o MuleSoft bago magbago ng kurso ay nagpapahaba lamang ng panahon kung saan ang iyong pinakabihirang mga tao ay nagtatrabaho bilang human compilers para sa proprietary config. Ang mga kakumpitensya na nagtratrato sa policy as code at agents bilang builders ay makakapag-ship ng secure APIs nang mas mabilis habang ang iyong change board ay patuloy na nagde-debate tungkol sa shared-flow ownership.
Isang pragmatic rollout na nagsisimula sa isang portable plane
Simulan sa pamamagitan ng paghihiwalay ng gateway commodity mula sa integration specialty. I-inventory ang Experience-layer APIs na karaniwang nagro-route, nag-a-authenticate, nagra-rate-limit at nag-e-expose ng products. Ang mga iyon ay kandidato para sa Kong o Tyk sa unang araw. Iwanan ang mga kumplikadong System at Process integrations na tunay na umaasa sa MuleSoft connectors o DataWeave kung saan sila nagkakaroon ng halaga hanggang sa isang sinasadyang rewrite ay makatwiran. Huwag subukang gawin ang isang big-bang rip-and-replace. Patakbuhin ang isang portable gateway nang parallel, i-migrate ang isang manipis na vertical ng high-value APIs at panatilihin ang legacy plane bilang fallback hanggang sa latency, error budgets at policy coverage ay makapasa sa mga agreed gates.
Procure sa pamamagitan ng marketplace na pinagkakatiwalaan mo na upang ang committed cloud spend ay makapondo sa isang cloud-agnostic runtime sa halip na isang native lock-in. I-deploy ang parehong gateway pattern sa hindi bababa sa dalawang providers o isang provider plus on-premises nang maaga, kahit na maliit ang traffic. Ang ehersisyo ay patunayan ang portability ng config, identity integration at observability, hindi ang pag-maximize ng requests sa unang buwan. I-encode ang authentication laban sa iyong existing identity provider, coarse product entitlements at isang unang Open Policy Agent o PingAuthorize decision path para sa isang sensitive domain tulad ng payments read, claims document access o customer PII fields.
Itayo ang agent-assisted delivery sa ilalim ng human governance mula sa simula. I-define ang policy-as-code repositories, contract tests at isang golden path para sa route at plugin changes. Payagan ang mga agent na magmungkahi ng configurations at bumuo ng negative tests para sa broken object-level authorisation at field filters. Mangailangan ng human approval para sa production promotes at para sa anumang pagpapalawak ng entitlements. Ang success metrics ay dapat madaling basahin ng board: share of APIs sa portable plane, mean time to add a governed endpoint, proporsyon ng policies sa ilalim ng version control, shadow findings para sa over-privileged tokens at ang bilang ng mga cloud kung saan maaaring ma-restore mula sa Git ang isang identical policy graph.
Pag-scale mula sa gateway patungo sa mesh at field-level policy
Sa sandaling matatag na ang north-south traffic para sa isang domain, palawakin ang parehong trust model sa east-west. I-introduce ang Kong Mesh o upstream Kuma para sa service-to-service mutual TLS, traffic permissions at MeshOPA policies upang ang internal callers ay harapin ang parehong authorisation philosophy tulad ng external ones. Itulak ang fine-grained checks na mas malapit sa data: object ownership, purpose limitation at field-level redaction o rejection kapag valid ang token ngunit ang attribute ay wala sa scope. I-wire ang audit events mula sa gateway at mesh sa parehong security information plane upang ang mga investigator ay makakita ng progressive decisions sa halip na isang solong allow/deny sa edge.
Palawakin nang maingat ang scope ng agent. Hayaan ang mga agent na magmay-ari ng regression packs para sa OWASP API Security Top 10 classes na mahalaga sa iyong estate, lalo na ang broken object authorisation at security misconfiguration. Panatilihin ang mga tao sa threat modelling, data-classification decisions at exception handling. Tratuhin ang PingAuthorize o OPA bilang system of record para sa authorisation logic kung posible upang ang gateway plugins ay manatiling manipis na adapters. Ang separation na iyon ay pumipigil sa policy na mabulok muli sa loob ng XML ng isang vendor. I-scale ang mga domain lamang kapag ang nakaraang domain ay may continuous policy tests, documented fall-back at isang operations runbook na hindi umaasa sa isang solong certified specialist.
Pinakamataas na utility, zero trust: ang commercial payoff
Ang portable gateways na binili sa pamamagitan ng hyperscaler marketplaces ay nagko-convert ng cloud commit sa strategic flexibility sa halip na mas malalim na captivity. Pinapanatili mo ang procurement convenience ng AWS, Azure o Google Cloud nang hindi tinatanggap ang kanilang native API gateway bilang destiny. Binabawasan mo ang headcount claim ng XML factory sa platform budget at inire-redirect ang effort sa policy design, data classification at agent-supervised automation. Binibigyan mo ang mga CISO ng isang coherent story: authentication, coarse authorisation, fine authorisation at field-level controls na ipinapatupad sa maraming layers, na may mesh coverage para sa mga tawag na hindi nakikita ng mga customer.
Para sa mga bangko, nangangahulugan ito ng open-banking at internal domain APIs na maaaring lumipat kasama ng resilience at sovereignty programmes. Para sa mga insurance company, nangangahulugan ito ng claims at policy services na nag-e-expose ng kailangan ng mga partner nang hindi nag-le-leak ng fields na hindi dapat makita ng isang token. Para sa anumang regulated operator, nangangahulugan ito ng audit evidence na ang authorisation ay progressive at sinasadya, hindi isang solong gateway tick-box. Nananatili ang talent dahil ang stack ay nagututuro ng transferable cloud-native skills. Nananatiling totoo ang exit options dahil ang config ay hindi nakakulong sa Apigee proxy XML o DataWeave. Pinakamataas na utility para sa legitimate consumers at agents. Zero trust bilang default posture sa halip na isang slide.
Mga agarang susunod na hakbang para sa technology leaders
Mag-commission ng isang mahigpit na inventory: aling mga API ang gateway commodity, alin ang tunay na nangangailangan ng MuleSoft-class integration at aling mga security controls ang tumitigil sa perimeter ngayon. Piliin ang Kong o Tyk bilang portable default para sa mga bagong Experience APIs at para sa unang migration tranche, na nakuha sa pamamagitan ng marketplace kung saan ito nakakatulong. Ipares ang gateway sa Open Policy Agent at, kung kinakailangan ang attribute-based depth, ang PingAuthorize. Planuhin ang Kong Mesh o Kuma para sa isang east-west domain sa loob ng parehong programa, hindi bilang isang hiwalay na science project.
Itayo ang isang maliit na platform cell na may awtoridad sa policy-as-code, agent tooling at multi-cloud proof deployments. I-ban ang bagong XML-factory expansion maliban kung ang isang nakasulat na exception ay nagpapatunay na walang portable alternative. Sukatin linggo-linggo: mga API na na-migrate, mga policy sa ilalim ng Git, agent-generated changes na tinanggap kumpara sa tinanggihan at identical restores sa isang pangalawang cloud. Suriin sa loob ng mga linggo, hindi sa fiscal years.
Ang paano hindi gawin ang mga API ay ngayon ay lubusang nauunawaan: i-lock ang estate sa gateway ng isang hyperscaler, i-staff ang isang XML at proprietary-transformation factory at ideklara ang tagumpay kapag nag-validate ang isang token sa edge. Ang paano gawin ang mga ito ay pantay na malinaw. Panatilihing portable ang gateway, hayaang bumuo at mag-test ng seguridad ang mga agent sa ilalim ng human control at ipatupad ang trust nang progresibo hanggang sa field. Ang technology leaders na magsasara ng factory ay magmamay-ari ng operating standard. Ang mga patuloy na magbubukas nito ay patuloy na magbabayad para sa lock-in at tatawagin itong governance.