Паролі, які видають популярні чат-боти, тільки на перший погляд виглядають надійними — насправді за ними стоять цілком передбачувані закономірності, а не хаотичний набір символів. До такого висновку дійшла компанія Irregular, перевіривши три відомі мовні моделі — Claude, ChatGPT і Gemini, — попросивши кожну з них видати пароль 50 разів поспіль.

За даними ZDNet, замість очікуваного розмаїття символів моделі знову і знову відтворювали схожі структури. Найяскравіше це проявилося у випадку Claude: усі паролі, які видала модель, починалися з літери, а після неї найчастіше з'являлась цифра 7. Водночас деякі символи не траплялися взагалі, тоді як інші літери й цифри зустрічалися помітно частіше, ніж мали б за випадкового розподілу.

Одна й та сама комбінація — у третині відповідей

З 50 спроб Claude згенерував лише 30 унікальних варіантів паролів — решта повторювалися. Найпомітніший приклад: комбінація «G7$kL9#mQ2&xP4!w» з'являлася настільки часто, що ймовірність побачити саме її під час будь-якого окремого запиту становила 36%. Для пароля, що за визначенням має бути непередбачуваним, це серйозна вразливість.

Причина криється в самій природі мовних моделей: вони не призначені для створення криптографічно випадкових послідовностей. Їхнє завдання — передбачати найімовірніше продовження тексту, тож навіть якщо результат виглядає як хаотичний набір літер, цифр і символів, за лаштунками працює той самий механізм прогнозування шаблонів, що й у звичайному діалозі.

На відміну від цього, справжні генератори паролів використовують криптографічно стійкі генератори псевдовипадкових чисел (CSPRNG), які створюють послідовності, що неможливо передбачити на основі попередніх результатів. У чат-ботів такого механізму немає взагалі.

Автори дослідження припускають, що детальніший і хитромудріший промпт міг би теоретично покращити випадковість видачі. Проте навряд чи звичайний користувач буде витрачати час на складання спеціальних інструкцій для чат-бота, коли для цього завдання давно існують спеціалізовані менеджери паролів.

Що робити натомість

Фахівці з безпеки радять використовувати менеджер паролів для генерації окремого довгого пароля до кожного сервісу — саме такі інструменти створені для забезпечення криптографічно надійної випадковості. Там, де це можливо технічно, варто переходити на passkeys — ключі доступу, які дозволяють заходити в акаунт без традиційного пароля взагалі.

Раніше експерти також з'ясували, що відеокарта Nvidia RTX 5090 здатна зламати 60% паролів менш ніж за годину.

Джерело: Highload.tech