Паролі, створаныя папулярнымі чат-ботамі, могуць выглядаць складанымі, але пры гэтым заставацца прадказальнымі. Даследаванне Irregular паказала, што ChatGPT, Claude і Gemini схільныя паўтараць адны і тыя ж сімвалы і структуры замест сапраўды выпадковых камбінацый.
Паролі, створаныя папулярнымі чат-ботамі, могуць выглядаць складанымі, але пры гэтым заставацца прадказальнымі. Даследаванне Irregular паказала, што ChatGPT, Claude і Gemini схільныя паўтараць адны і тыя ж сімвалы і структуры замест сапраўды выпадковых камбінацый.
Даследчыкі па 50 разоў прасілі мадэлі згенераваць пароль і выявілі прыкметныя заканамернасці. У тэсце Claude усе камбінацыі пачыналіся з літары, пасля якой часта стаяла лічба 7. Некаторыя сімвалы не з’яўляліся наогул, а асобныя літары і лічбы паўтараліся значна часцей за іншыя.
У выніку з 50 запытаў Claude стварыў толькі 30 унікальных пароляў. Адна з камбінацый — G7$kL9#mQ2&xP4!w — сустракалася настолькі часта, што верагоднасць яе з’яўлення ў выбарцы дасягала 36%.
Праблема ў тым, што моўныя мадэлі не прызначаны для стварэння крыптаграфічна выпадковых паслядоўнасцей. Яны прадказваюць найбольш верагодны працяг тэксту і таму ўзнаўляюць шаблоны нават тады, калі вынік вонкава падобны на надзейны пароль.
Для генерацыі пароляў выкарыстоўваюць крыптаграфічна ўстойлівыя генератары псеўдавыпадковых лікаў. Яны ствараюць паслядоўнасці, якія нельга прадказаць па папярэдніх выніках. У чат-ботаў такой гарантыі няма.
Аўтары адзначаюць, што больш падрабязны промпт мог бы палепшыць вынік. Аднак звычайныя карыстальнікі наўрад ці будуць складаць складаныя інструкцыі, асабліва калі для гэтай задачы ўжо існуюць менеджары пароляў і спецыялізаваныя генератары.
Эксперты рэкамендуюць ствараць для кожнага сервісу асобны доўгі пароль з дапамогай менеджара пароляў. Там, дзе гэта магчыма, лепш выкарыстоўваць ключы доступу — passkeys, якія дазваляюць заходзіць у акаўнт без традыцыйнага пароля.
Релоцировались? Теперь вы можете комментировать без верификации аккаунта.
Для одного конкретного пароля нет никакой разницы, с какой закономерностью он генерируется. А использовать гтп в качестве рандомайзера действительно неразумно