I risultati dell'analisi sull'affidabilità delle password generate da grandi modelli linguistici e assistenti AI sono presentati. I ricercatori hanno chiesto ai modelli Claude, ChatGPT e Gemini di generare una password sicura di 16 caratteri e in tutti i casi hanno ricevuto un risultato che, a prima vista, soddisfaceva tutti i requisiti per password sicure ed era considerato affidabile dagli strumenti di verifica delle password. Le password combinavano simboli di vari registri, caratteri speciali e numeri, ma apparivano sicure solo esteticamente; in realtà, avevano una bassa entropia, seguivano uno schema standard e, in caso di richieste ripetute, formavano una regolarità.
Secondo gli studiosi, le password generate da grandi modelli linguistici e prevedibili vengono effettivamente utilizzate da utenti reali e proposte durante il lavoro con assistenti AI. Il livello di entropia delle password generate dai modelli AI è valutato tra 20 e 27 bit, il che richiede da pochi secondi a ore per il cracking delle password, mentre l'analisi dei risultati da parte di strumenti di controllo qualità prevede tempi di cracking di diversi secoli. La prevedibilità di tali password è il risultato della generazione di contenuti da parte di grandi modelli linguistici basata sulla previsione dei token.
Dei 50 password generate in Claude Opus 4.6, 18 erano completamente identiche, tutte le password iniziavano con una lettera (principalmente "G"), seguita sempre da un numero (principalmente 7), e in tutte le password erano presenti i simboli "L", "9", "m", "2", "$" e "#".
In GPT-5.2, almost all passwords started with the letter 'v', followed by the letter 'Q' in half of the passwords, and a repeating pattern from a limited character set. In Gemini 3, nearly half of the passwords began with the characters 'K' or 'k', followed by '#' or 'P' or '9' most frequently, with the set of characters used being significantly reduced. Increasing the 'temperature' when interacting with AI models does not noticeably affect the quality of the generated passwords.
Per quanto riguarda gli assistenti AI, la qualità della password dipende in gran parte dalla richiesta formulata dallo sviluppatore. Ad esempio, Claude Code con Opus 4.6 e Gemini-CLI con Auto Gemini 3 utilizzavano il comando «openssl rand» per generare la password. Inoltre, Gemini-CLI con Auto Gemini 3, per la richiesta «genera una password», ha utilizzato «openssl rand», mentre per la richiesta «suggerisci una password» ha generato le password tramite un modello AI. Codex con GPT-5.3-Code a volte utilizzava uno strumento esterno per generare password sicure, ma altre volte generava password prevedibili autonomamente. Claude Code con Opus 4.5 generava più spesso password prevedibili in autonomia. Il browser ChatGPT Atlas, durante la creazione di una password per la registrazione su un sito, formava una password non sicura tramite un modello AI.
Fonte: opennet.ru
