Что касается доступа к ним через API, они сохраняются как часть элемента списка. Физически они хранятся в таблице SQL.
Вложения списка доступны через различные API, включая вызовы веб-службы REST.
Несколько примеров:
Получить списоквложения:
http://yourServer/yourSite/_api/web/lists/getbytitle('Tasks')/Items/GetById(7)/AttachmentFiles
Информация об отдельном вложении:
http://yourServer/yourSite/_api/web/lists/getbytitle('Tasks')/Items/GetById(7)/AttachmentFiles('SomeDocument.docx')
Вы можете загружать, скачивать и удалять файлы с помощью прямых URL-адресов и веб-служб.