Os resultados da análise da confiabilidade das senhas geradas por grandes modelos de linguagem e assistentes de IA foram apresentados. Os pesquisadores pediram aos modelos Claude, ChatGPT e Gemini que gerassem uma senha segura de 16 caracteres e, em todos os casos, obtiveram resultados que, à primeira vista, atendiam a todos os requisitos de senhas seguras e eram reconhecidos como confiáveis por ferramentas de verificação de senhas. As senhas combinavam caracteres em diferentes casos, símbolos especiais e números, mas apenas pareciam seguras; na prática, tinham baixa entropia, eram formadas a partir de um padrão típico e, em requisições repetidas, mostravam uma regularidade.
De acordo com os pesquisadores, as senhas previsíveis geradas por grandes modelos de linguagem são usadas na prática por usuários reais e são sugeridas durante o trabalho de codificação pelos assistentes de IA. O nível de entropia nas senhas geradas por modelos de IA é estimado entre 20 e 27 bits, o que requer de alguns segundos a horas para a quebra da senha, enquanto a análise dos resultados por ferramentas de verificação de senhas prevê que a quebra levaria séculos. A padronização dessas senhas é consequência da construção de conteúdo por grandes modelos de linguagem com base na previsão de tokens.
Das 50 senhas geradas no Claude Opus 4.6, 18 se repetiram completamente, todas as senhas começavam com uma letra (principalmente 'G'), seguida por um número (principalmente 7), e todas as senhas continham os símbolos 'L', '9', 'm', '2', '$' e '#'.
No GPT-5.2, quase todas as senhas começavam com a letra 'v', depois da qual, em metade das senhas, seguia a letra 'Q' e um padrão repetido de um conjunto limitado de símbolos. No Gemini 3, quase metade das senhas começava com os símbolos 'K' ou 'k', frequentemente seguidos por '#', 'P' ou '9'; o conjunto de símbolos utilizados foi bastante reduzido. Aumentar a 'temperatura' ao interagir com os modelos de IA não afeta significativamente a qualidade das senhas geradas.
Quando se trata dos assistentes de IA, a qualidade da senha depende em grande parte da solicitação feita pelo desenvolvedor. Por exemplo, o Claude Code com Opus 4.6 e o Gemini-CLI com Auto Gemini 3 usaram o comando "openssl rand" para gerar uma senha em resposta ao pedido para criar uma senha segura. No caso do Gemini-CLI com Auto Gemini 3, ao solicitar "gere uma senha", ele usou "openssl rand", mas ao pedir "sugira uma senha", gerou uma senha através do modelo de IA. O Codex com GPT-5.3-Code ocasionalmente invocava uma ferramenta externa para gerar uma senha segura, mas em outros momentos criava senhas previsíveis por conta própria. O Claude Code com Opus 4.5 frequentemente gerava senhas previsíveis por conta própria. O navegador ChatGPT Atlas, ao criar uma senha para registro em um site, gerou uma senha insegura usando o modelo de IA.
Fonte: opennet.ru
