аюсь отключить проверку CSRF для одного контроллера (API), но не могу найти, как мне этого добиться.

Компонент CSRF до 3.5.0 имел возможность быть отключенным по определенному запросу, используя:

$this->eventManager()->off($this->Csrf);