De resultaten van de analyse van de betrouwbaarheid van wachtwoorden die worden gegenereerd door grote taalmodellen en AI-assistenten zijn gepresenteerd. Onderzoekers vroegen de modellen Claude, ChatGPT en Gemini om een betrouwbaar 16-teken wachtwoord te genereren, en in alle gevallen werd een resultaat verkregen dat op het eerste gezicht voldeed aan alle vereisten voor veilige wachtwoorden en door kwaliteitstoepassingen als betrouwbaar werd erkend. De wachtwoorden combineerden symbolen in verschillende hoofdlettertypen, speciale tekens en cijfers, maar leken veilig, terwijl ze in werkelijkheid een minimale entropie hadden, volgens een typisch sjabloon waren opgebouwd en bij herhaalde verzoeken een patroon vormden.
Volgens onderzoekers worden de door grote taalmodellen gegenereerde voorspelbare wachtwoorden in de praktijk door echte gebruikers gebruikt en aangeboden tijdens het coderen door AI-assistenten. Het entropieniveau in de door AI-modellen gegenereerde wachtwoorden wordt geschat op 20-27 bit, wat betekent dat het enkele seconden tot uren kost om een wachtwoord te raden, terwijl de analyse van de resultaten door kwaliteitstoepassingen voorspelt dat het enkele eeuwen kan duren. De voorspelbaarheid van dergelijke wachtwoorden is het gevolg van de opbouw van inhoud door grote taalmodellen op basis van tokenvoorspelling.
Van de 50 gegenereerde wachtwoorden in Claude Opus 4.6 waren er 18 volledig identiek, alle wachtwoorden begonnen met een letter (meestal 'G'), gevolgd door een cijfer (meestal 7), en in alle wachtwoorden kwamen de symbolen 'L', '9', 'm', '2', '$' en '#' voor.
In GPT-5.2 begonnen bijna alle wachtwoorden met de letter 'v', waarna in de helft van de wachtwoorden de letter 'Q' volgde en een herhaald sjabloon uit een beperkte set symbolen. In Gemini 3 begon bijna de helft van de wachtwoorden met de symbolen 'K' of 'k', gevolgd door ' #' , 'P' of '9', waarbij de set gebruikte symbolen sterk was verkleind. Een verhoogde 'temperatuur' bij het aanspreken van AI-modellen heeft nauwelijks invloed op de kwaliteit van de gegenereerde wachtwoorden.
Bij het ontwikkelen van AI-assistenten hangt de kwaliteit van het wachtwoord sterk af van de door de ontwikkelaar geformuleerde aanvraag. Bijvoorbeeld, Claude Code met Opus 4.6 en Gemini-CLI met Auto Gemini 3 gebruikten de opdracht "openssl rand" om een wachtwoord te genereren. Gemini-CLI met Auto Gemini 3 gebruikte "openssl rand" voor de aanvraag "genereer een wachtwoord", terwijl het bij de aanvraag "stel een wachtwoord voor" een wachtwoord genereerde via het AI-model. Codex met GPT-5.3-Code gebruikte af en toe een externe tool voor het genereren van een betrouwbaar wachtwoord, maar genereerde soms ook voorspelbare wachtwoorden op eigen kracht. Claude Code met Opus 4.5 genereerde de meeste tijd voorspelbare wachtwoorden zelfstandig. De browser ChatGPT Atlas genereerde een onbetrouwbaar wachtwoord bij het verzinnen van een wachtwoord voor registratie op een website met behulp van een AI-model.
Bron: opennet.ru
