Czy kiedykolwiek prosiłeś sztuczną inteligencję o hasło?
Kiedy to zrobisz, szybko go wygeneruje, informując Cię z pewnością, że wynik jest mocny.
W rzeczywistości tak nie jest, jak wynika z badań udostępnionych wyłącznie Sky News przez sztuczna inteligencja firma zajmująca się bezpieczeństwem cybernetycznym Irregular.
Badanie, które zostało zweryfikowane przez Sky News, wykazało, że wszystkie trzy główne modele – CzatGPTClaude i Gemini – stworzyli wysoce przewidywalne hasła, co skłoniło współzałożyciela Irregular, Dana Lahava, do wystosowania prośby o wykorzystanie sztucznej inteligencji do ich tworzenia.
„Zdecydowanie nie powinieneś tego robić” – powiedział Sky News. „A jeśli to zrobiłeś, powinieneś natychmiast zmienić hasło. Uważamy, że nie jest ono wystarczająco znane, aby stanowiło to problem”.
Przewidywalne wzorce są wrogiem dobrego cyberbezpieczeństwa, ponieważ oznaczają, że hasła mogą zostać odgadnięte przez zautomatyzowane narzędzia wykorzystywane przez cyberprzestępców.
Ponieważ jednak duże modele językowe (LLM) w rzeczywistości nie generują haseł losowo, a zamiast tego uzyskują wyniki w oparciu o wzorce w danych szkoleniowych, w rzeczywistości nie tworzą silnego hasła, a jedynie coś, co wygląda na silne hasło – wrażenie siły, które w rzeczywistości jest wysoce przewidywalne.
Choć mogą wydawać się bezpieczne, badania wykazały, że hasła generowane przez sztuczną inteligencję są wysoce przewidywalne
Niektóre hasła stworzone przez sztuczną inteligencję wymagają analizy matematycznej, aby ujawnić ich słabości, ale wiele z nich jest tak regularnych, że są wyraźnie widoczne gołym okiem.
Na przykład próbka 50 haseł wygenerowanych przez Irregular przy użyciu sztucznej inteligencji Claude firmy Anthropic dała tylko 23 unikalne hasła. Jedno hasło – K9#mPx$vL2nQ8wR – zostało użyte 10 razy. Inne obejmowały K9#mP2$vL5nQ8@xR, K9$mP2vL#nX5qR@j i K9$mPx2vL#nQ8wFs.
Kiedy Sky News testowało Claude’a, aby sprawdzić badania Irregular, pierwszym wyplutym hasłem było K9#mPx@4vLp2Qn8R.
Czat z programem AI Claude na temat losowo generowanych haseł
OpenAI CzatGPT i Google’a Wyniki AI Gemini były nieco mniej regularne, ale nadal generowały powtarzające się hasła i przewidywalne wzorce znaków haseł.
System generowania obrazów Google NanoBanana również był podatny na ten sam błąd, gdy poproszono go o wygenerowanie obrazów haseł na karteczkach samoprzylepnych.
Seria wygenerowanych przez sztuczną inteligencję karteczek samoprzylepnych zawierających hasła z aplikacji Google NanoBanana
„Nawet stare komputery potrafią je złamać”
Narzędzia do sprawdzania haseł online mówią, że te hasła są niezwykle silne. Testy przeprowadzone przez Sky News śpiewająco przeszły: jeden ze sposobów sprawdzania haseł odkrył, że hasło Claude nie zostanie złamane przez komputer przez 129 milionów bilionów lat.
Dzieje się tak tylko dlatego, że osoby sprawdzające nie są świadome wzorca, przez co hasła są znacznie słabsze, niż się wydaje.
„Nasza najlepsza ocena jest taka, że obecnie, jeśli do generowania haseł używasz narzędzi LLM, nawet stare komputery są w stanie je złamać w stosunkowo krótkim czasie” – mówi Lahav.
Nie jest to problem tylko nieświadomych użytkowników sztucznej inteligencji, ale także programistów, którzy coraz częściej wykorzystują sztuczną inteligencję do pisania większości swojego kodu.
Przeczytaj więcej ze Sky News:
Czy rezygnacja ze sztucznej inteligencji naraża świat na „niebezpieczeństwo”?
Czy rządy kiedykolwiek dotrzymają kroku wielkim technologiom?
Jak wynika z wyszukiwania w GitHub, najczęściej używanym repozytorium kodów, haseł wygenerowanych przez sztuczną inteligencję można już znaleźć w kodzie używanym w aplikacjach, programach i witrynach internetowych, w poszukiwaniu rozpoznawalnych fragmentów haseł stworzonych przez sztuczną inteligencję.
Na przykład wyszukiwanie K9#mP (powszechny przedrostek używany przez Claude’a) dało 113 wyników, a k9#vL (podciąg używany przez Gemini) dało 14 wyników. Było wiele innych przykładów, często wyraźnie mających być hasłami.
Większość wyników jest niewinna i została wygenerowana przez agentów kodujących AI dla dokumentów „najlepszych praktyk bezpieczeństwa”, kodu testującego siłę hasła lub kodu zastępczego.
Jednak firmie Irregular udało się znaleźć pewne hasła w rzekomo prawdziwych serwerach lub usługach i firmie udało się pozyskać agentów kodujących do wygenerowania haseł w potencjalnie istotnych obszarach kodu.
„Niektóre osoby mogą zetknąć się z tym problemem, nawet nie zdając sobie z tego sprawy, tylko dlatego, że przekazały sztucznej inteligencji stosunkowo skomplikowane działanie” – powiedział Lahav, który wezwał firmy zajmujące się sztuczną inteligencją, aby poinstruowały swoje modele, aby korzystały z narzędzia do generowania naprawdę losowych haseł, podobnie jak człowiek korzystałby z kalkulatora.
Co powinieneś zrobić zamiast tego?
Graeme Stewart, szef sektora publicznego w firmie Check Point zajmującej się bezpieczeństwem cybernetycznym, miał do zaoferowania pewne zapewnienie.
„Dobra wiadomość jest taka, że jest to jeden z rzadkich problemów związanych z bezpieczeństwem, który można łatwo rozwiązać” – powiedział.
„Jeśli chodzi o wielkość tej transakcji, należy ją raczej do kategorii „możliwej do uniknięcia, o dużym wpływie, gdy coś pójdzie nie tak”, a nie „wszyscy zostaną zhakowani”.
Inni eksperci zaobserwowali, że problemem są same hasła, które notorycznie są nieszczelne.
„Istnieją silniejsze i łatwiejsze metody uwierzytelniania” – powiedział Robert Hann, globalny wiceprezes ds. rozwiązań technicznych w firmie Entrust, który zalecił, aby ludzie, jeśli to możliwe, używali kluczy dostępu, takich jak identyfikator twarzy i odcisk palca.
A jeśli to nie wchodzi w grę? Uniwersalna rada: wybierz długą, zapadającą w pamięć frazę i nie pytaj sztucznej inteligencji.
Sky News skontaktowało się z OpenAI, natomiast Google i Anthropic odmówiły komentarza.
