Выглядит как шифр, а подбирается на раз: почему ИИ не годится для паролей
Комбинация из букв разного регистра, цифр и значков ещё не делает пароль надёжным. Об этом рассказал Юрий Силаев, заведующий лабораторией доверенного искусственного интеллекта РТУ МИРЭА. Если попросить нейросеть придумать пароль, криптографически стойкой случайности не получится. Внешняя сложность обманчива: внутри — предсказуемые закономерности.
Причина в том, как устроены большие языковые модели. Они выстраивают текст по вероятностям, которые усвоили при обучении, с поправкой на контекст запроса. Одни символы и их сочетания появляются заметно чаще других, отдельные последовательности повторяются. Отсюда и курьёзы: на одинаковые просьбы модель иногда выдаёт полностью совпадающие пароли.
«Наличие букв разного регистра, цифр и специальных символов само по себе ещё не гарантирует надёжность пароля», — пояснил Силаев.
Специализированные генераторы работают по другому принципу. В их основе — криптографически стойкие датчики случайных чисел. Такую комбинацию практически невозможно предугадать.
Чем это грозит на практике? Злоумышленник может накопить статистику по паролям от языковых моделей и вычислить самые вероятные варианты. Дальше — автоматизированный перебор. Многое зависит от защиты конкретного сервиса, но предсказуемый пароль повышает шансы на взлом. Хуже всего, если одна и та же комбинация стоит на нескольких аккаунтах: пробили одну дверь — открылись все.
Чем заменить нейросеть
Силаев советует брать проверенные генераторы — те, что встроены в браузеры и операционные системы, либо специализированные менеджеры паролей. Они создают случайные комбинации и помогают хранить их в безопасности.
Ещё несколько правил от эксперта. Для каждого аккаунта — отдельный длинный пароль. Где есть возможность, включать многофакторную аутентификацию. И не отправлять действующие пароли чат-ботам на проверку надёжности: сторонний сервис получает конфиденциальные данные, сохраняет их и обрабатывает по своим правилам.
Интерес к теме неслучаен. По данным опроса «Лаборатории Касперского» и платформы онлайн-рекрутмента hh.ru, каждый десятый россиянин уже доверяет создание паролей к рабочим сервисам искусственному интеллекту. Ещё шесть процентов используют нейросети для управления паролями или их хранения.
Исследования прошлого года подтверждали выводы Силаева. Оценка реальной энтропии шестнадцатисимвольных паролей от языковых моделей показала: она составляет около 27 и 20 бит. Для действительно случайного пароля такой длины показатель был бы кратно выше. Внешний вид обманывает — и цена ошибки здесь слишком высока.