Password generate da AI, SÌ o NO?
La generazione delle password sembra spesso un compito semplice: hai bisogno di alcune lettere, numeri e simboli e voilà… hai ottenuto una password “sicura”. Tuttavia, la realtà è molto più complessa e se ti affidi a un modello di intelligenza artificiale, come ChatGPT, Gemini o Claude, per creare password sicure, stai commettendo un grave errore di sicurezza. Studi recenti mostrano che i modelli LLM (Large Language Models) non forniscono quella casualità strettamente necessaria per proteggere i tuoi account online.
1. Queste password generate dall’AI non sono davvero casuali
Molti utenti hanno iniziato a chiedere alle applicazioni tipo chatbot di generare password per i loro account personali, dall’email ai social media o alle piattaforme di banking. Il problema è che i modelli AI, inclusi ChatGPT, Google Gemini e Claude, non creano password completamente casuali. Invece di crittografia pura, questi modelli producono risultati basati su schemi ricorrenti nei dati di addestramento, il che rende le password molto più facili da indovinare di quanto appaiano a prima vista.
Ad esempio, un’analisi recente condotta dalla società di sicurezza informatica Irregular ha testato questi sistemi generando 50 password. I risultati hanno mostrato solo 23 password uniche, e alcune erano ripetute decine di volte.
2. Password “complicate” ma facili da decifrare
Sebbene i controllori di password online possano mostrare un buon punteggio per queste password, gli studi sottolineano che il caos apparente non significa reale sicurezza. Una stringa di 16 caratteri generata dall’AI può sembrare complessa, ma se ha una struttura ripetitiva, un attaccante può sfruttare questa prevedibilità per ridurre drasticamente il numero di possibilità di indovinare. Gli esperti di sicurezza avvertono che le password basate su schemi possono essere decifrate in molto meno tempo di quanto pensi.
L’entropia delle password generate dall’AI, cioè la misura di quanto sia difficile indovinare una stringa di caratteri, è stata stimata a valori molto al di sotto dei livelli raccomandati per una reale sicurezza. Un esempio mostra che le password AI possono avere solo ~27 bit di entropia, rispetto a ~98 bit o più per password veramente casuali, utilizzate dalle applicazioni di gestione password di alto livello.
3. Il pericolo non è solo teorico
Oltre al fatto che le password generate dall’AI sono prevedibili, possono finire in repository pubbliche o nel codice sorgente (nel caso di programmatori che lasciano le password generate dall’AI in file .env). Allo stesso modo, gli attaccanti possono costruire elenchi di schemi osservati nelle password generate dai modelli AI, utilizzandoli successivamente in attacchi automatici.
Inoltre, se hai già utilizzato password generate dall’AI, gli esperti raccomandano un cambio immediato, soprattutto per gli account sensibili, poiché la vulnerabilità non è solo teorica, ma è già presente nella pratica attuale.
4. Alternative più sicure per la sicurezza degli account
Esistono metodi molto più sicuri per gestire le password:
- Gestori di password: applicazioni specializzate che generano password davvero casuali utilizzando algoritmi crittografici e le memorizzano in una cassaforte sicura.
- Autenticazione biometrica e/o passkey: tecnologie moderne che eliminano la necessità di password tradizionali per molti servizi.
- Autenticazione a due fattori (2FA): aggiunge un ulteriore livello di sicurezza, anche se la password è compromessa.
Invece di chiedere a un modello AI di creare password, utilizza strumenti dedicati che rispettano i più rigorosi standard di sicurezza e che proteggono realmente i tuoi account.
I modelli AI non sono progettati per creare password veramente sicure
In un’epoca in cui l’intelligenza artificiale fa parte della nostra vita digitale quotidiana, può essere allettante utilizzare gli stessi strumenti per compiti apparentemente semplici, come la generazione di password. Tuttavia, i risultati sono chiari: i modelli AI non sono progettati per creare password veramente sicure. La mancanza di casualità, gli schemi ripetuti e la prevedibilità di queste stringhe di caratteri le rendono vulnerabili agli attacchi informatici.
Per una reale sicurezza digitale, la raccomandazione degli esperti è di affidarsi a soluzioni di sicurezza dedicate, come un gestore di password, autenticazione a due passaggi o tecnologie tipo passkey e non a un AI generalista.
Fonte: androidpolice.com
