Оценка на надежност на паролите, генерирани от големи езикови модели

Представени са резултатите от анализа на надежността на паролите, генерирани от големи езикови модели и AI помощници. Изследователите помолиха моделите Claude, ChatGPT и Gemini да генерират надежден 16-символен парола и във всички случаи получиха резултат, който на пръв поглед отговаря на всички изисквания за сигурни пароли и се признава от утилитите за проверка на качеството на паролите като надежден. Паролите комбинираха символи в различни регистри, специални символи и числа, но само изглеждаха безопасни, а на практика имаха минимална ентропия, формираха се по типичен шаблон и при повторни запитвания образуваха закономерност.

Според изследователите, предсказуемите пароли, генерирани от големи езикови модели, се използват на практика от реални потребители и се предлагат в процеса на работа над код от AI помощници. Нивото на ентропия в паролите, генерирани от AI модели, се оценява на 20-27 бита, което изисква за подбиране на паролата от няколко секунди до часове, докато анализът на резултатите от утилитите за проверка на качеството на паролите прогнозира времето за подбора на паролите в няколко века. Шаблонността на подобни пароли е следствие от създаването на съдържание от големи езикови модели на базата на предсказание на токени.

От 50 генерирани пароли в Claude Opus 4.6, 18 напълно се повтарят, всички пароли започваха с буква (основно „G“), след която винаги следваше цифра (основно 7), във всички пароли присъстваха символи „L“, „9“, „m“, „2“, „$“ и „#“.

В GPT-5.2 почти всички пароли започваха на буква „v“, след което в половината от паролите следваше буква „Q“ и повтарящ се шаблон от ограничен набор символи. В Gemini 3 почти половината пароли започваха с символите „K“ или „k“, след които най-често следваха „#“, „P“ или „9“, наборът на използваните символи беше силно ограничен. Увеличаването на „температурата“ при взаимодействие с AI модели осезаемо не влияе на качеството на генерираните пароли.

Когато става дума за AI асистенти, качеството на паролите в голяма степен зависи от формулировката, създадена от разработчика. Например, Claude Code с Opus 4.6 и Gemini-CLI с Auto Gemini 3 на запитване за генериране на надежден пароль са използвали командата «openssl rand». В същото време Gemini-CLI с Auto Gemini 3 на запитване «сгенерирай пароль» е използвал «openssl rand», а на запитване «предложи пароль» е генерирал паролата чрез AI модел. Codex с GPT-5.3-Code понякога е стартирал външен инструмент за генериране на надеждни пароли, но понякога е създавал предсказуеми пароли сам. Claude Code с Opus 4.5 най-често сам е генерирал предсказуеми пароли. Браузерът ChatGPT Atlas при създаване на парола за регистрация в сайта е генерирал ненадеждни пароли с помощта на AI модела.

Източник: opennet.ru