ztevenreal
- Las contraseñas generadas por IA siguen patrones que los hackers pueden estudiar
- La complejidad de la superficie oculta debajo la previsibilidad estadística
- Las brechas de entropía en las contraseñas de IA exponen debilidades estructurales en los inicios de sesión de IA
Los modelos de estilo holgado (LLM) pueden hacer que las contraseñas parezcan complejas, pero pruebas recientes sugieren que esas cadenas están allí de ser aleatorias.
Un estudio de Irregular examinó los resultados de contraseñas de sistemas de inteligencia industrial como Claude, ChatGPT y Gemini, pidiendo a cada uno que generara contraseñas de 16 caracteres con símbolos, números y trivio en mayúsculas y minúsculas.
A primera sagacidad, los resultados parecieron sólidos y pasaron las pruebas de seguridad comunes en orientación, y algunos verificadores estimaron que descifrarlas llevaría siglos, pero una examen más cercana a estas contraseñas contaba una historia diferente.
Las contraseñas de LLM muestran patrones estadísticos repetitivos y adivinables
Cuando los investigadores analizaron 50 contraseñas generadas en sesiones separadas, muchas eran duplicadas y varias seguían patrones estructurales casi idénticos.
La mayoría comenzaba y terminaba con tipos de caracteres similares y nadie contenía caracteres repetidos.
Esta partida de repetición puede parecer tranquilizadora, pero en efectividad indica que el resultado sigue convenciones aprendidas y no una verdadera aleatoriedad.
Utilizando cálculos de entropía basados en estadísticas de caracteres y probabilidades de registro de modelos, los investigadores estimaron que estas contraseñas generadas por IA contenían aproximadamente entre 20 y 27 bits de entropía.
Una contraseña genuinamente aleatoria de 16 caracteres normalmente mediría entre 98 y 120 bits mediante los mismos métodos.
La brecha es sustancial y, en términos prácticos, podría significar que dichas contraseñas sean vulnerables a ataques de fuerza bruta en cuestión de horas, incluso en hardware obsoleto.
Los medidores de seguridad de contraseñas en orientación evalúan la complejidad superficial, no los patrones estadísticos ocultos detrás de una dependencia, y porque no tienen en cuenta cómo Las herramientas de inteligencia industrial generan texto y pueden clasificar resultados predecibles como seguros.
Los atacantes que comprendan esos patrones podrían refinar sus estrategias de augurio, reduciendo drásticamente el espacio de búsqueda.
El estudio incluso encontró que aparecen secuencias similares en documentación y repositorios de códigos públicos, lo que sugiere que es posible que las contraseñas generadas por IA ya estén circulando ampliamente.
Si los desarrolladores confían en estos resultados durante las pruebas o la implementación, el aventura aumenta con el tiempo; de hecho, incluso los sistemas de inteligencia industrial que generan estas contraseñas no confían plenamente en ellos y pueden emitir advertencias cuando se presionan.
Gemini 3 Pro, por ejemplo, devolvió sugerencias de contraseña conexo con una advertencia de que las credenciales generadas por chat no deben estilarse para cuentas confidenciales.
En su ocasión, recomendó frases de contraseña y aconsejó a los usuarios que confiaran en un administrador de contraseñas dedicado.
Un productor de contraseñas integrado en dichas herramientas se basamento en la aleatoriedad criptográfica en ocasión de la predicción del estilo.
En términos simples, los LLM están capacitados para producir textos plausibles y repetibles, no secuencias impredecibles; por lo tanto, la preocupación más amplia es estructural.
Los principios de diseño detrás de las contraseñas generadas por LLM entran en conflicto con los requisitos de autenticación segura, por lo que ofrece protección con una error.
“Las personas y los agentes de codificación no deberían encargar en los LLM para suscitar contraseñas”, dijo Irregular.
“Las contraseñas generadas a través de la salida directa de LLM son fundamentalmente débiles, y esto no se puede solucionar mediante indicaciones o ajustes de temperatura: los LLM están optimizados para producir resultados predecibles y plausibles, lo cual es incompatible con la gestación segura de contraseñas”.
A través de El Registro
Siga TechRadar en Google News y agréganos como fuente preferida para aceptar parte, reseñas y opiniones de nuestros expertos en sus feeds. ¡Asegúrate de hacer clic en el botonadura Seguir!
Y por supuesto incluso puedes Siga TechRadar en TikTok para parte, reseñas, unboxings en forma de video y reciba actualizaciones periódicas de nuestra parte en WhatsApp incluso.
