Mots de passe générés par l’IA, OUI ou NON ?
La génération de mots de passe semble souvent être une tâche simple : il suffit de quelques lettres, chiffres et symboles et voilà… vous avez un mot de passe « sécurisé ». Cependant, la réalité est beaucoup plus complexe, et si vous comptez sur un modèle d’intelligence artificielle, tel que ChatGPT, Gemini ou Claude, pour créer des mots de passe sécures, vous faites une grave erreur de sécurité. Des études récentes montrent que les modèles LLM (Large Language Models) ne fournissent pas cette aléatoire strictement nécessaire pour protéger vos comptes en ligne.
1. Ces mots de passe générés par l’IA ne sont pas vraiment aléatoires
De nombreux utilisateurs ont commencé à demander aux applications de type chatbot de générer des mots de passe pour leurs comptes personnels, allant des emails aux réseaux sociaux ou aux plateformes bancaires. Le problème est que les modèles d’IA, y compris ChatGPT, Google Gemini et Claude, ne créent pas de mots de passe complètement aléatoires. Au lieu de cryptographie pure, ces modèles produisent des résultats basés sur des schémas récurrents dans les données d’entraînement, ce qui rend les mots de passe beaucoup plus faciles à deviner qu’ils n’en ont l’air.
Par exemple, une analyse récente réalisée par la société de sécurité informatique Irregular a testé ces systèmes en générant 50 mots de passe. Les résultats ont montré seulement 23 mots de passe uniques, et certains ont été répétés des dizaines de fois.
2. Mots de passe « compliqués » mais faciles à craquer
Bien que les vérificateurs de mots de passe en ligne puissent afficher un bon score pour ces mots de passe, les études soulignent que le chaos apparent ne signifie pas une réelle sécurité. Une chaîne de 16 caractères générée par l’IA peut sembler complexe, mais si elle a une structure répétitive, un attaquant peut exploiter cette prévisibilité pour réduire considérablement le nombre de possibilités de deviner. Les spécialistes de la sécurité avertissent que les mots de passe basés sur des motifs peuvent être craqués en beaucoup moins de temps que vous ne le pensez.
L’entropie des mots de passe générés par l’IA, c’est-à-dire la mesure de la difficulté à deviner une chaîne de caractères, a été estimée à des valeurs bien inférieures aux niveaux recommandés pour une réelle sécurité. Un exemple montre que les mots de passe IA peuvent avoir seulement ~27 bits d’entropie, comparé à ~98 bits ou plus pour des mots de passe véritablement aléatoires, utilisés par les meilleures applications de gestion de mots de passe.
3. Le danger n’est pas seulement théorique
En plus d’être prévisibles, les mots de passe générés par l’IA peuvent se retrouver dans des dépôts publics ou dans du code source (dans le cas des programmeurs qui laissent les mots de passe générés par l’IA dans des fichiers .env). De même, les attaquants peuvent construire des listes de schémas observés dans les mots de passe générés par des modèles d’IA, les utilisant ensuite dans des attaques automatisées.
De plus, si vous avez déjà utilisé des mots de passe générés par l’IA, les spécialistes recommandent un changement immédiat, surtout pour les comptes sensibles, car la vulnérabilité n’est pas seulement théorique, mais se retrouve déjà dans la pratique actuelle.
4. Alternatives plus sûres pour la sécurité des comptes
Il existe des méthodes beaucoup plus sûres pour gérer les mots de passe :
- Gestionnaires de mots de passe : applications spécialisées qui génèrent des mots de passe véritablement aléatoires en utilisant des algorithmes cryptographiques et les stockent dans un coffre-fort sécurisé.
- Authentification biométriqueet/ou passkey: technologies modernes qui éliminent la nécessité des mots de passe traditionnels pour de nombreux services.
- Authentification à deux facteurs (2FA) : ajoute un niveau de sécurité supplémentaire, même si le mot de passe est compromis.
Au lieu de demander à un modèle d’IA de créer des mots de passe, utilisez des outils dédiés qui respectent les normes de sécurité les plus strictes et qui protègent réellement vos comptes.
Les modèles d’IA ne sont pas conçus pour créer des mots de passe véritablement sûrs
À une époque où l’intelligence artificielle fait partie de notre vie numérique quotidienne, il peut être tentant d’utiliser les mêmes outils pour des tâches apparemment simples, comme la génération de mots de passe. Cependant, les résultats sont clairs : les modèles d’IA ne sont pas conçus pour créer des mots de passe véritablement sûrs. Le manque d’aléatoire, les motifs répétés et la prévisibilité de ces chaînes de caractères les rendent vulnérables aux cyberattaques.
Pour une véritable sécurité numérique, la recommandation des experts est de se fier à des solutions de sécurité dédiées, comme un gestionnaire de mots de passe, l’authentification à deux étapes ou des technologies de type passkey et non sur l’IA généraliste.
Source : androidpolice.com
