Sono presentati i risultati dell'analisi dell'affidabilità delle password generate da grandi modelli linguistici e assistenti AI. I ricercatori hanno chiesto ai modelli Claude, ChatGPT e Gemini di generare una password affidabile di 16 caratteri e in tutti i casi hanno ottenuto risultati che, a prima vista, rispettavano tutti i requisiti per password sicure e risultavano affidabili secondo gli strumenti di verifica della qualità delle password. Le password combinavano simboli in diversi registri, caratteri speciali e numeri, ma apparivano sicure solo all'esterno, mentre in realtà avevano una minima entropia, si formavano secondo uno schema standard e generavano delle regolarità in caso di richieste ripetute.
Secondo i ricercatori, le password prevedibili generate da grandi modelli linguistici sono utilizzate nella pratica da utenti reali e vengono proposte durante la scrittura di codice da assistenti AI. Il livello di entropia delle password generate dai modelli AI è valutato tra 20 e 27 bit, il che richiede da pochi secondi a ore per essere scoperte, mentre l'analisi dei risultati da parte degli strumenti di verifica della qualità delle password predice tempi di scoperta di diversi secoli. La prevedibilità di tali password è una conseguenza della creazione di contenuti da parte di grandi modelli linguistici basata sulla previsione dei token.
Dei 50 password generate in Claude Opus 4.6, 18 si ripetevano completamente, tutte le password iniziavano con una lettera (soprattutto «G»), seguita sempre da un numero (principalmente 7), e in tutte le password erano presenti i simboli «L», «9», «m», «2», «$» e «#».
In GPT-5.2 quasi tutte le password iniziavano con la lettera «v», seguita in metà delle password dalla lettera «Q» e da uno schema ripetitivo di un insieme limitato di simboli. In Gemini 3 quasi metà delle password iniziava con i simboli «K» o «k», seguiti più frequentemente da «#», «P» o «9», e il set di simboli utilizzati era fortemente ridotto. L'aumento della «temperatura» durante le interazioni con i modelli AI non influisce significativamente sulla qualità delle password generate.
Per quanto riguarda gli assistenti AI, la qualità della password dipende in gran parte dalla richiesta formulata dal sviluppatore. Ad esempio, Claude Code con Opus 4.6 e Gemini-CLI con Auto Gemini 3 hanno eseguito il comando «openssl rand» per generare una password. In questo caso, Gemini-CLI con Auto Gemini 3 per la richiesta «genera una password» ha utilizzato «openssl rand», mentre per la richiesta «proponi una password» ha generato una password tramite il modello AI. Codex con GPT-5.3-Code a volte ha eseguito un'utility esterna per la generazione di password sicure, ma a volte ha generato password prevedibili con le proprie forze. Claude Code con Opus 4.5 generava per lo più password prevedibili in modo autonomo. Il browser ChatGPT Atlas, nel proporre una password per la registrazione su un sito web, ha generato una password insicura tramite il modello AI.
Fonte: opennet.ru
