Небезопасные пароли от LLM

Что это такое

Пользователь просит языковую модель сгенерировать сложный пароль. На вид результат соответствует стандартным требованиям: содержит буквы в разных регистрах, цифры и специальные символы. Однако LLM не создает случайную последовательность, а предсказывает наиболее вероятные токены. Поэтому в паролях появляются повторяющиеся символы и шаблоны.

Исследователи Irregular протестировали Claude, GPT и Gemini. Например, Claude Opus 4.6 выдал только 30 уникальных паролей за 50 попыток. Один и тот же пароль повторился 18 раз. Исследование Irregular

Чем и кому опасна

Риск возникает у пользователей, разработчиков и компаний, которые применяют пароли из прямого ответа LLM. Внешне сложный пароль способен получить высокую оценку сервиса проверки, но оставаться предсказуемым для атакующего, который знает модель и характерные для нее шаблоны.

Особенно опасно использовать такие пароли для рабочих аккаунтов, серверов, баз данных и секретов в программном коде.

Как защититься

Не просить LLM самостоятельно придумывать пароль. Использовать генератор в менеджере паролей или другой инструмент с криптографически стойким генератором случайных чисел. Для каждого сервиса нужен отдельный пароль. Дополнительную защиту дает двухфакторная аутентификация.

Разработчикам стоит проверить код и конфигурационные файлы на пароли, которые создали ИИ-ассистенты, а затем заменить такие пароли.

Информационная безопасность бизнеса

Контур.Эгида — сервисы информационной безопасности: уменьшение рисков внутренних угроз и утечек конфиденциальных данных, предотвращение атак злоумышленников.

Оставить заявку