Hasła generowane przez AI: TAK czy NIE?
Generowanie haseł często wydaje się prostym zadaniem: potrzebujesz kilku liter, cyfr i symboli i gotowe… masz „bezpieczne” hasło. Jednak rzeczywistość jest znacznie bardziej skomplikowana, a jeśli polegasz na modelu sztucznej inteligencji, takim jak ChatGPT, Gemini czy Claude, aby tworzyć bezpieczne hasła, popełniasz poważny błąd w zakresie bezpieczeństwa. Ostatnie badania pokazują, że modele LLM (Large Language Models) nie zapewniają tej ścisłej losowości niezbędnej do ochrony twoich kont online.
1. Te hasła generowane przez AI nie są naprawdę losowe
Wielu użytkowników zaczęło prosić aplikacje typu chatbot o generowanie haseł do swoich osobistych kont, od e-maili po media społecznościowe czy platformy bankowe. Problem polega na tym, że modele AI, w tym ChatGPT, Google Gemini i Claude, nie tworzą całkowicie losowych haseł. Zamiast czystej kryptografii, te modele produkują wyniki oparte na powtarzających się wzorcach w danych treningowych, co sprawia, że hasła są znacznie łatwiejsze do odgadnięcia niż wydaje się na pierwszy rzut oka.
Na przykład, niedawna analiza przeprowadzona przez firmę zajmującą się bezpieczeństwem cybernetycznym Irregular przetestowała te systemy, generując 50 haseł. Wyniki pokazały tylko 23 unikalne hasła, a niektóre były powtarzane dziesiątki razy.
2. „Skomplikowane” hasła, ale łatwe do złamania
Chociaż internetowe narzędzia do sprawdzania haseł mogą pokazywać dobry wynik dla tych haseł, badania podkreślają, że pozorny chaos nie oznacza prawdziwego bezpieczeństwa. Ciąg 16 znaków wygenerowany przez AI może wydawać się skomplikowany, ale jeśli ma powtarzalną strukturę, atakujący może wykorzystać tę przewidywalność, aby drastycznie zmniejszyć liczbę możliwości odgadnięcia. Specjaliści ds. bezpieczeństwa ostrzegają, że hasła oparte na wzorcach mogą być łamane w znacznie krótszym czasie, niż myślisz.
Entropia haseł generowanych przez AI, czyli miara tego, jak trudno jest odgadnąć ciąg znaków, została oszacowana na wartości znacznie poniżej poziomów zalecanych dla prawdziwego bezpieczeństwa. Przykład pokazuje, że hasła AI mogą mieć tylko ~27 bitów entropii, w porównaniu do ~98 bitów lub więcej dla autentycznie losowych haseł, używanych przez najlepsze aplikacje typu menedżer haseł.
3. Niebezpieczeństwo nie jest tylko teoretyczne
Oprócz tego, że hasła generowane przez AI są przewidywalne, mogą trafić do publicznych repozytoriów lub do kodu źródłowego (w przypadku programistów, którzy zostawiają hasła generowane przez AI w plikach .env). Podobnie, atakujący mogą budować listy wzorców zaobserwowanych w hasłach generowanych przez modele AI, wykorzystując je później w atakach automatycznych.
Co więcej, jeśli już używałeś haseł generowanych przez AI, specjaliści zalecają natychmiastową zmianę, szczególnie dla wrażliwych kont, ponieważ podatność nie jest tylko teoretyczna, ale już można ją znaleźć w praktyce.
4. Bezpieczniejsze alternatywy dla bezpieczeństwa kont
Istnieją znacznie bezpieczniejsze metody zarządzania hasłami:
- Menedżery haseł: specjalistyczne aplikacje, które generują naprawdę losowe hasła przy użyciu algorytmów kryptograficznych i przechowują je w bezpiecznej skrytce.
- Autoryzacja biometryczna i/lub passkey: nowoczesne technologie, które eliminują potrzebę tradycyjnych haseł dla wielu usług.
- Autoryzacja dwuetapowa (2FA): dodaje dodatkowy poziom bezpieczeństwa, nawet jeśli hasło zostanie skompromitowane.
Zamiast prosić model AI o stworzenie haseł, korzystaj z dedykowanych narzędzi, które spełniają najsurowsze standardy bezpieczeństwa i które naprawdę chronią twoje konta.
Modele AI nie są zaprojektowane do tworzenia naprawdę bezpiecznych haseł
W erze, w której sztuczna inteligencja jest częścią naszego codziennego życia cyfrowego, może być kuszące, aby używać tych samych narzędzi do pozornie prostych zadań, takich jak generowanie haseł. Jednak wyniki są jasne: modele AI nie są zaprojektowane do tworzenia naprawdę bezpiecznych haseł. Brak losowości, powtarzające się wzorce i przewidywalność tych ciągów znaków czynią je podatnymi na ataki cybernetyczne.
Dla prawdziwego bezpieczeństwa cyfrowego eksperci zalecają poleganie na dedykowanych rozwiązaniach zabezpieczających, takich jak menedżer haseł, autoryzacja dwuetapowa lub technologie typu passkey, a nie na ogólnych modelach AI.
Źródło: androidpolice.com
