Kaspersky atrage atenţia asupra riscurilor generării de parole cu ajutorul inteligenţei artificiale

Majoritatea serviciilor online şi aplicaţiilor cer utilizatorului să creeze o parolă. Şansele sunt ca multe dintre aceste parole să nu fie folosite zilnic şi, din cauza acestei abundenţe, există o probabilitate mare ca unele să fie reutilizate, conform unui comunicat transmis redacţiei.

Gestionarea slabă a parolelor este agravată de folosirea unor combinaţii comune de nume, cuvinte din dicţionar şi cifre. Aceste parole sunt relativ uşor de spart, iar dacă un infractor cibernetic obţine acces la una dintre ele, poate obţine acces şi la o mulţime de alte conturi.

Acesta este motivul pentru care se recomandă utilizatorilor să creeze parole unice şi aleatorii pentru a reduce vulnerabilitatea cauzată de reutilizarea aceloraşi parole. Totuşi, crearea şi gestionarea parolelor poate fi o sarcină dificilă. Pentru a uşura acest proces, mulţi ar putea fi tentaţi să apeleze la modele lingvistice mari (LLMs) precum ChatGPT, Llama sau DeepSeek pentru a genera parole.

Atracţia este evidentă: în loc să se chinuie să creeze o parolă puternică, utilizatorii pot, pur şi simplu, întreba AI-ul "Generează o parolă sigură" şi vor primi instant un rezultat. AI-ul generează şiruri aparent aleatorii, evitând tendinţa umană de a crea parole previzibile, bazate pe cuvinte cunoscute. Dar aparenţele pot fi înşelătoare - parolele generate de AI nu sunt întotdeauna la fel de sigure pe cât par.

Specialiştii Kaspersky au testat acest lucru generând 1.000 de parole folosind unele dintre cele mai cunoscute şi de încredere modele: ChatGPT (de la OpenAI), Llama (din grupul Meta), DeepSeek (un model recent din China). Toate modelele ştiu că o parolă bună trebuie să aibă cel puţin 12 caractere, să conţină litere mari şi mici, cifre şi simboluri. Ele menţionează acest lucru şi în procesul de generare a parolelor, potrivit comunicatului.

Astfel, DeepSeek şi Llama generează uneori parole compuse din cuvinte de dicţionar, în care unele litere sunt înlocuite cu cifre de formă similară: S@d0w12, M@n@tee3, B@n@n@7 (DeepSeek), K5yB0a8dS8, S1mP1eL1on (Llama). Ambele modele au tendinţa de a genera parola "password": P@ssw0rd, P@ssw0rd!23 (DeepSeek), P@ssw0rd1, P@ssw0rdV (Llama). Evident, astfel de parole nu sunt sigure. Trucul cu înlocuirea literelor cu alte caractere este bine cunoscut şi poate fi uşor spart prin "brute force". ChatGPT nu are această problemă şi generează parole care par într-adevăr aleatorii. De exemplu:

qLUx@^9Wp#YZ

LU#@^9WpYqxZ

YLU@x#Wp9q^Z

YLp^9W#qX@zv

P@zq^XWLY#v9

v#@LqYXW^9pz

X@9pYWq^#Lzv

Totuşi, dacă ne uităm cu atenţie, putem observa anumite tipare - de exemplu, cifra 9 apare frecvent.

Mai jos este ilustrată o histogramă a tuturor simbolurilor din cele 1.000 de parole generate cu ChatGPT - se observă clar că aproape toate conţin caracterele x, p, l, L.

Acestea nu par deloc litere alese aleatoriu.

În cazul modelului Llama, situaţia este uşor mai bună: Llama are o preferinţă pentru simbolul # şi pentru literele p, l şi L.

Un generator aleatoriu ideal nu ar trebui să favorizeze nicio literă. Frecvenţa fiecărui simbol ar trebui să fie, în linii mari, aceeaşi.

De asemenea, algoritmii au omis adesea să includă un caracter special sau cifre în parole: 26% dintre parolele generate de ChatGPT, 32% de Llama şi 29% de DeepSeek. În plus, DeepSeek şi Llama au generat uneori parole mai scurte de 12 caractere, se precizează în comunicat.

Având aceste tipare în vedere, infractorii cibernetici pot accelera considerabil atacurile de tip "brute force": în loc să încerce parole în ordine ("aaa", "aab", "aac", ... "aba", "abb", "abc", ... "zzz"), pot începe cu combinaţiile cele mai frecvente.

În 2024, unul dintre cercetătorii Kaspersky a dezvoltat un algoritm de învăţare automată pentru a testa complexitatea parolelor şi a constatat că aproape 60% dintre acestea pot fi sparte în mai puţin de o oră, folosind plăci grafice moderne sau instrumente de spargere în cloud. Aplicat la parolele generate de AI, rezultatele au fost alarmante: 88% dintre parolele generate de DeepSeek şi 87% de Llama nu erau suficient de sigure pentru a rezista unui atac sofisticat. ChatGPT a avut performanţe ceva mai bune, dar chiar şi aşa, 33% dintre parolele sale nu au trecut testul de securitate Kaspersky.

Problema este că modelele LLM nu generează aleatoriu în mod autentic. În schimb, ele imită tipare din datele existente, ceea ce face ca rezultatele lor să fie previzibile pentru atacatorii care înţeleg cum funcţionează aceste modele.

În loc să te bazezi pe inteligenţa artificială, este recomandat să foloseşti un software dedicat pentru gestionarea parolelor, cum ar fi Kaspersky Password Manager. Aceste instrumente oferă multiple avantaje esenţiale.

În primul rând, astfel de aplicaţii utilizează generatoare criptografic sigure pentru a crea parole complet aleatorii, fără tipare detectabile. În al doilea rând, toate datele de autentificare sunt stocate într-un seif digital securizat, protejat de o singură parolă principală. Astfel, nu mai este nevoie să memorezi zeci sau sute de parole, iar acestea rămân protejate împotriva accesului neautorizat.

În plus, un password manager oferă funcţii precum completarea automată şi sincronizarea între dispozitive, facilitând autentificarea fără a compromite securitatea. Multe dintre aceste soluţii includ şi monitorizarea breşelor de securitate, alertând utilizatorii dacă datele lor apar într-o scurgere de informaţii.

Deşi AI poate fi utilă în multe domenii, generarea de parole nu este unul dintre ele. Tiparele şi previzibilitatea parolelor create de modele LLM le fac vulnerabile în faţa atacurilor. Într-o eră a breşelor de securitate frecvente, o parolă puternică şi unică pentru fiecare cont nu mai este opţională, se mai menţionează în comunicat.