Логика этого поведения находится в \App\Http\Middleware\Authenticate:
protected function redirectTo($request)
{
if (! $request->expectsJson()) {
return route('login');
}
}
видимо в запросе к API вы не указывали что ожидаете JSON, поэтому он и перенаправляет на страницу логина.