Bedömning av tillförlitlighet för lösenord som genererats av stora språkmodeller

Resultaten av analysen av lösenordsgenerering från stora språkliga modeller och AI-assistenter har presenterats. Forskare bad modellerna Claude, ChatGPT och Gemini att generera ett pålitligt 16-teckens lösenord, och fick i alla fall ett resultat som vid första anblicken uppfyllde alla säkerhetskrav och betraktades som pålitligt av verktyg för kvalitetstest av lösenord. Lösenorden innehöll tecken i olika versaler, specialtecken och siffror, men såg bara säkra ut; i verkligheten hade de minimal entropi, följde ett typiskt mönster och bildade mönster vid upprepade förfrågningar.

Enligt forskarna används de förutsägbara lösenord som genererats av stora språkliga modeller av verkliga användare i praktiken och föreslås i processen av AI-assistenter under kodningen. Entropin i lösenorden som genererats av AI-modellerna uppskattas till 20-27 bitar, vilket kräver från några sekunder till timmar för att knäcka lösenordet, medan analysen av resultaten från verktygen för kvalitetstest av lösenord förutspår att det skulle ta flera sekler. Mönstret hos sådana lösenord är en följd av hur stora språkliga modeller bygger innehåll baserat på tokenförutsägelser.

Av 50 genererade lösenord i Claude Opus 4.6 upprepades 18 helt och hållet, alla lösenord började med en bokstav (ofta "G"), följdes alltid av en siffra (ofta 7), och alla lösenord innehöll tecken som "L", "9", "m", "2", "$" och "#".

I GPT-5.2 började nästan alla lösenord med bokstaven "v", efter vilken hälften av lösenorden följdes av bokstaven "Q" och ett upprepande mönster av ett begränsat antal tecken. I Gemini 3 började nästan hälften av lösenorden med tecknen "K" eller "k", som oftast följdes av "#", "P" eller "9", och uppsättningen av använda tecken var starkt begränsad. Att öka "temperaturen" vid förfrågningar till AI-modellerna påverkar märkbart inte kvaliteten på de genererade lösenorden.

När det gäller AI-assistenter är kvaliteten på det genererade lösenordet i stor utsträckning beroende av hur utvecklaren formulerar sin förfrågan. Till exempel använde Claude Code med Opus 4.6 och Gemini-CLI med Auto Gemini 3 kommandot "openssl rand" för att generera ett starkt lösenord vid förfrågan. Samtidigt använde Gemini-CLI med Auto Gemini 3 vid förfrågan "generera lösenord" "openssl rand", medan den vid förfrågan "föreslå lösenord" genererade lösenordet via en AI-modell. Codex med GPT-5.3-Code använde ibland externa verktyg för att generera ett starkt lösenord, men kunde också ibland skapa ett förutsägbart lösenord på egen hand. Claude Code med Opus 4.5 genererade oftast förutsägbara lösenord självständigt. Webbläsaren ChatGPT Atlas skapade ett osäkert lösenord vid registrering på en webbplats med hjälp av en AI-modell.

Källa: opennet.ru