Как защитить Air-приложение от подмены API сервера?
В чем тогда ценность вашего сервера (и нафиг он вообще нужен), если перехватывая трафик, можно легко сделать аналогичный?

Способ примитивной проверки — использовать https и проверять отпечатки и путь сертифката, но даже в этом случае клиента можно декомпилировать и убрать проверку.
Перенесите часть логики на серверную сторону. Например, интерфейс строится на основании кода, который присылается с сервера. Это сильно упрощенный пример, но, думаю, вы сможете развить мысль дальше. Пока часть функционала клиента будет для воров черным ящиком, вы в относительной безопасности.