Parola „tare” generată de AI poate fi, de fapt, ușor de ghicit: de ce șirurile par aleatorii, dar nu sunt

Ideea sună comod: ceri unui chatbot să-ți inventeze o parolă „super sigură”, lungă, cu simboluri, cifre și litere mari, iar tu o copiezi și gata. Din exterior, pare chiar o soluție modernă: AI-ul „știe” multe, deci sigur poate produce și o parolă bună. Doar că aici apare un paradox: tocmai ceea ce face un model generativ util – faptul că produce texte plauzibile, coerente, cu tipare – îl poate face prost la un lucru care are nevoie de opusul plauzibilității: aleatoriu real.

Un material care citează o analiză a companiei de securitate Irregular arată că parolele propuse de chatboturi precum Claude, ChatGPT și Gemini pot arăta complexe, pot trece chiar și de verificatoare online de „strength”, însă tind să urmeze tipare comune, repetabile și, în consecință, mai ușor de ghicit decât ai crede. Pe scurt: parola pare haotică, dar „haosul” e adesea o iluzie.

De ce verificatoarele online îți pot da impresia greșită că parola e invincibilă

Când introduci o parolă într-un verificator online, acesta evaluează, de obicei, lucruri destul de mecanice: lungime, diversitatea seturilor de caractere (litere mari/mici, cifre, simboluri), lipsa cuvintelor din dicționar, uneori și prezența unor secvențe evidente. Dacă ai 16 caractere și amesteci tot, rezultatul poate arăta spectaculos: „ar dura secole să fie spartă”. Problema este că multe astfel de verificatoare nu iau în calcul ceva esențial: tiparele de generare specifice unui model AI.

Irregular a observat că parolele generate de LLM-uri pot avea structuri recurente (de exemplu, anumite caractere preferate la început sau final, combinații de simboluri repetate, distribuții „prea curate” ale cifrelor și simbolurilor). Pentru un verificator standard, o parolă de tipul „A%7k…!” arată ca aleatoriu. Pentru cine înțelege tiparele modelului, nu mai e chiar atât de aleatorie. Aici e diferența dintre „complexitate vizuală” și „entropie reală”.

Vezi și:

Cum funcționează drona marină MAGURA V5. Este una dintre cele mai avansate arme navale și poate parcurge până la 800 de kilometri

Un semnal de alarmă menționat în testele pe Claude a fost chiar repetarea: din 50 de parole generate în conversații separate, o parte au fost duplicate, iar unele au fost identice. Asta e exact genul de comportament pe care nu vrei să-l vezi la ceva ce ar trebui să fie unic. Dacă două persoane primesc aceeași parolă „random”, problema nu mai e teoretică, e structurală.

Ce au găsit cercetătorii: tipare, entropie mică și posibilitatea de a fi ghicite mult mai repede

Irregular a mers mai departe și a încercat să cuantifice diferența dintre „pare aleatoriu” și „este aleatoriu”, folosind estimări de entropie (un mod de a măsura cât de imprevizibil este un șir). Concluzia prezentată este dură: entropia estimată pentru parole de 16 caractere generate de LLM-uri a fost mult mai mică decât ar trebui să fie pentru un șir cu adevărat random.

În termeni simpli, o parolă cu adevărat aleatorie, de 16 caractere, dintr-un set mare de simboluri, ar avea o entropie mult mai mare decât ceea ce au estimat cercetătorii pentru parolele LLM. Iar când entropia scade, atacurile de tip „ghicire masivă” pot deveni mult mai eficiente, deoarece nu mai încerci toate combinațiile posibile, ci încerci întâi combinațiile „probabile” – fix acele tipare pe care modelul tinde să le reproducă.

Vezi și:

Cum devii atât de bun la AI încât colegii vor crede că ești robot: șapte obiceiuri care îți schimbă munca de zi cu zi

AI-ul antrenat pe computer cuantic a trecut un test pe care modelul obișnuit l-a ratat: descoperirea care poate schimba viitorul inteligenței artificiale

Un alt detaliu interesant din analiză: cercetătorii au remarcat că, în setul de parole generat, nu apăreau caractere repetate. La prima vedere, asta pare „cool”, ca și cum AI-ul ar fi evitat repetițiile ca să fie mai sigur. În realitate, absența repetițiilor e încă un tipar. Aleatoriul real nu „evită” repetițiile; uneori le include, pentru că nu are preferințe. Dacă vezi o regulă implicită de genul „nu repet caractere”, ai un semn că nu e random, ci un produs al unui stil de generare.

Și mai problematic este faptul că tiparele nu au apărut doar într-un singur model. Testele menționează consistențe și la modele diferite, inclusiv în zonele de început ale șirurilor. Asta alimentează ideea că „parola LLM” are o estetică recognoscibilă: arată ca un șir complex, dar se încadrează într-o familie de șabloane pe care le poți învăța și exploata.

Ce faci ca să nu cazi în capcana „parolei frumoase” și cum te protejezi fără efort

Primul lucru util este să schimbi reflexul: nu folosi un chatbot ca generator de parole pentru conturi importante. Chiar dacă îți dă un avertisment sau pare că „înțelege” cerințele, natura lui rămâne aceeași: produce output plauzibil, nu aleatoriu criptografic. Dacă ai deja conturi pentru care ai folosit parole generate în chat, tratează asta ca pe un motiv de rotație: schimbă parolele, mai ales la email, banking, conturi de muncă și orice cont care îți poate reseta alte parole.

Apoi, alege soluția simplă care chiar funcționează: un password manager. Nu pentru că e „cool”, ci pentru că poate genera șiruri cu adevărat random și le poate păstra fără să le memorezi. În plus, îți rezolvă problema reală: nu parola „tare” este greu de obținut, ci disciplina de a folosi parole unice peste tot. Managerul îți dă unicitate, lungime și random, fără să-ți tocești nervii.

Dacă nu vrei manager, următoarea variantă decentă este o frază de acces lungă (passphrase) creată de tine sau generată de un instrument dedicat, nu de un model conversațional. O frază lungă, unică, e adesea mai ușor de ținut minte și, dacă e suficient de lungă și neobișnuită, poate fi foarte puternică. Important este să fie unică pentru fiecare serviciu și să nu fie ceva „citatabil” sau predictibil (gen propoziții celebre).

În final, merită să reții ideea centrală: AI-ul poate să te ajute la multe, dar la parole are un conflict de interese „tehnic”. Un model antrenat să ghicească ce urmează nu este instrumentul potrivit pentru a produce ceva ce nu trebuie ghicit. Dacă vrei siguranță, folosește un generator de parole dintr-un manager, activează autentificarea în doi pași și schimbă rapid orice parolă pe care ai obținut-o printr-o conversație cu AI.

Munca de acasă nu îi face automat pe angajați mai fericiți. Ce arată studiile despre joburile fără birou