Era inteligenței artificiale a adus numeroase inovații, dar și provocări semnificative în domeniul securității cibernetice. De la aplicații și site-uri cu vulnerabilități până la parole generate automat, riscurile sunt tot mai prezente. Un studiu recent realizat de firma de securitate cibernetică Irregular a dezvăluit un adevăr șocant: parolele generate de modelele de limbaj mari (LLM) par puternice, dar sunt, de fapt, „fundamental nesigure” și ușor de ghicit.
Cercetătorii au testat capacitatea unor modele populare de AI, precum Claude, ChatGPT și Gemini, de a genera parole sigure de 16 caractere, care includ simboluri, cifre și litere. Rezultatele au fost îngrijorătoare. Deși parolele generate păreau complexe și erau evaluate ca „puternice” de instrumente online precum KeePass, acestea s-au dovedit a fi vulnerabile.
De ce parolele generate de AI sunt slabe?
Problema principală constă în lipsa de randomizare a modelelor de limbaj mari. De exemplu, atunci când cercetătorii au solicitat modelului Claude Opus 4.6 să genereze 50 de parole unice, acesta a folosit un pattern predictibil. Toate parolele începeau cu o literă, majoritatea fiind „G” majuscul, iar al doilea caracter era aproape întotdeauna cifra „7”. Caracterele „L”, „9”, „m”, „2”, „$” și „#” apăreau în toate cele 50 de parole, în timp ce majoritatea literelor alfabetului nu erau folosite deloc.
Situația s-a repetat și în cazul celorlalte modele. ChatGPT, de exemplu, genera parole care începeau aproape întotdeauna cu litera „v”, iar al doilea caracter era, în jumătate din cazuri, „Q”. La fel ca Claude, ChatGPT a folosit un set restrâns de caractere, în loc să exploateze întregul alfabet. Gemini, pe de altă parte, a generat parole care începeau predominant cu litera „K”, majusculă sau minusculă, urmată de combinații repetitive precum „#”, „P” sau „9”.
Lipsa de randomizare: un risc major
Cercetătorii au observat că modelele de limbaj mari par să evite repetarea caracterelor pentru a crea iluzia unei parole complexe. Însă, din punct de vedere probabilistic, absența totală a caracterelor repetitive este un indicator clar al lipsei de randomizare. Această abordare face parolele mult mai ușor de ghicit decât cele generate aleatoriu.
Puterea unei parole este măsurată în biți de entropie, care estimează numărul de încercări necesare pentru a o sparge. De exemplu, o parolă cu 20 de biți de entropie generează aproximativ un milion de combinații posibile, care pot fi sparte în câteva secunde de un atacator care folosește procesoare grafice moderne. În schimb, o parolă cu 100 de biți de entropie ar necesita trilioane de ani pentru a fi spartă.
Conform studiului, parolele generate de AI oferă în medie doar 2,08 biți de entropie per caracter, în comparație cu 6,13 biți per caracter în cazul unei parole cu adevărat sigure. Astfel, o parolă de 16 caractere generată de un LLM are aproximativ 27 de biți de entropie, în timp ce una sigură ar avea 98 de biți. Această diferență enormă le face extrem de vulnerabile la atacuri de tip brute-force.
Cum putem evita aceste riscuri?
Soluția este simplă pentru utilizatorii individuali: evitați generarea parolelor cu ajutorul AI. De exemplu, Gemini include chiar un avertisment care recomandă să nu folosiți parolele generate pentru conturi sensibile. Cu toate acestea, problema devine mai complexă în cazul agenților AI care sunt folosiți pentru a automatiza diverse sarcini, inclusiv generarea de parole. Cercetătorii au descoperit modele repetitive de parole generate de AI în documente tehnice și pe platforme precum GitHub, ceea ce înseamnă că există aplicații și servicii protejate de parole slabe, așteptând să fie sparte.
Conform cercetătorilor de la Irregular, această problemă nu poate fi rezolvată prin simpla ajustare a prompturilor sau a parametrilor de generare. „Oamenii și agenții de codare nu ar trebui să se bazeze pe LLM-uri pentru generarea parolelor. Parolele create prin ieșirile directe ale LLM-urilor sunt fundamental slabe, iar această problemă nu poate fi remediată prin ajustări de temperatură sau prompturi: LLM-urile sunt optimizate pentru a produce ieșiri plauzibile și predictibile, ceea ce este incompatibil cu generarea de parole sigure”, au concluzionat aceștia.
Până în prezent, companiile Anthropic, OpenAI și Google nu au răspuns solicitărilor de comentarii privind aceste descoperiri. Rămâne de văzut cum vor aborda această problemă în viitor și ce măsuri vor lua pentru a îmbunătăți securitatea parolelor generate de inteligența artificială.
