Die Ergebnisse der Analyse der Zuverlässigkeit von Passwörtern, die von großen Sprachmodellen und AI-Assistenten generiert werden, werden vorgestellt. Die Forscher baten die Modelle Claude, ChatGPT und Gemini, ein sicheres 16-Zeichen-Passwort zu generieren und erhielten in allen Fällen Ergebnisse, die auf den ersten Blick allen Anforderungen an sichere Passwörter entsprachen und von Tools zur Überprüfung der Passwortqualität als zuverlässig anerkannt wurden. Die Passwörter kombinierten Zeichen in verschiedenen Groß- und Kleinbuchstaben, Sonderzeichen und Zahlen, sahen jedoch nur sicher aus, hatten in Wirklichkeit eine minimale Entropie, wurden nach einem typischen Muster gebildet und zeigten bei wiederholten Anfragen Muster.
Laut den Forschern werden die vorhersehbaren Passwörter, die von großen Sprachmodellen generiert werden, in der Praxis von echten Nutzern verwendet und von AI-Assistenten während des Codierens vorgeschlagen. Das Entropieniveau in den von AI-Modellen generierten Passwörtern wird auf 20-27 Bit geschätzt, was für das Knacken eines Passworts von wenigen Sekunden bis Stunden erfordert, während die Analyse der Ergebnisse durch Tools zur Überprüfung der Passwortqualität eine Knackzeit von mehreren Jahrhunderten prognostiziert. Die Musterhaftigkeit solcher Passwörter ist eine Folge der Erstellung von Inhalten durch große Sprachmodelle basierend auf der Vorhersage von Token.
Von 50 in Claude Opus 4.6 generierten Passwörtern wiederholten sich 18 vollständig, alle Passwörter begannen mit einem Buchstaben (hauptsächlich „G“), gefolgt von einer Zahl (hauptsächlich 7); in allen Passwörtern waren die Zeichen „L“, „9“, „m“, „2“, „$“ und „#“ enthalten.
In GPT-5.2 begannen fast alle Passwörter mit dem Buchstaben „v“, gefolgt von „Q“ in der Hälfte der Passwörter und einem sich wiederholenden Muster aus einer begrenzten Anzahl von Zeichen. In Gemini 3 begann fast die Hälfte der Passwörter mit den Zeichen „K“ oder „k“, gefolgt von „#“, „P“ oder „9“; die verwendeten Zeichen waren stark eingeschränkt. Eine Erhöhung der „Temperatur“ bei der Ansprache von AI-Modellen hat keinen spürbaren Einfluss auf die Qualität der generierten Passwörter.
Die Qualität des Passworts, das bei der Entwicklung von KI-Assistenten verwendet wird, hängt stark von der vom Entwickler formulierten Anfrage ab. Beispielsweise verwendeten Claude Code mit Opus 4.6 und Gemini-CLI mit Auto Gemini 3 den Befehl „openssl rand“, um ein sicheres Passwort zu generieren. Dabei nutzte Gemini-CLI mit Auto Gemini 3 auf die Anfrage „generiere Passwort“ ebenfalls „openssl rand“, während es auf die Anfrage „schlag ein Passwort vor“ ein Passwort über das KI-Modell generierte. Codex mit GPT-5.3-Code startete gelegentlich ein externes Tool zur Generation eines sicheren Passworts, generierte jedoch manchmal auch vorhersehbare Passwörter aus eigener Kraft. Claude Code mit Opus 4.5 generierte am häufigsten selbstständig vorhersehbare Passwörter. Der Browser ChatGPT Atlas generierte bei der Erstellung eines Passworts zur Registrierung auf einer Website ein unsicheres Passwort mithilfe des KI-Modells.
Quelle: opennet.ru
