Muchas personas están recurriendo a los modelos de gran lenguaje, como ChatGPT, Claude o Gemini, para que les ayuden a generar contraseñas seguras para los distintos servicios y herramientas digitales que utilizan. Sin embargo, un estudio publicado recientemente por Irregular revela que estas claves son mucho más predecibles y vulnerables de lo que aparentan.
Por ejemplo, un password que parece complejo —con mayúsculas, números y símbolos— puede tener solo de 20 a 30 bits de entropía, suficiente para ser adivinada en cuestión de horas por ataques automatizados, en lugar de los 100 bits que se esperan de una contraseña realmente robusta.
“Las contraseñas generadas por modelos de lenguaje parecen fuertes, pero son fundamentalmente inseguras, porque estos modelos están diseñados para predecir tokens, lo opuesto a generar caracteres aleatorios de manera segura y uniforme”, indica la investigación.
En su estudio Irregular ha probado los principales LLMs disponibles en el mercado y observado claves repetidas incluso tras múltiples solicitudes al modelo, patrones claros en la estructura de los caracteres y una seguridad mucho menor de lo que sugería su apariencia.
Los resultados concretos mostraron que, incluso tras 50 peticiones de generación muchos modelos producían passwords idénticos o con ligeras variaciones en mayúsculas, números o símbolos.
Más que IA… criptografía
En este sentido, Irregular aconseja a los laboratorios de IA que desactiven la generación directa por defecto. También sugiere el uso de generadores criptográficos y gestores de contraseñas especializados, que garantizarían verdadera aleatoriedad y alta entropía.
«En el corazón de cualquier generador de contraseñas fuerte hay un generador de números pseudoaleatorios criptográficamente seguro (CSPRNG), responsable de generar los caracteres de la contraseña de manera que sean muy difíciles de predecir y se distribuyan uniformemente entre todas las posibilidades», insiste.
Además, de cara a los usuarios subraya la importancia de evitar el uso de la IA general para estos fines, puesto que la capacidad predictiva de la misma es lo que la hace predecible «y la distribución de probabilidad de todos los tokens posibles está muy lejos de ser uniforme».
Acerca del autor
