ИИ вас обманывает: пароли, которые генерируют нейросети, взламываются за минуты

Многие интернет-пользователи искренне полагают, что если попросить ChatGPT или Google Gemini придумать надёжный пароль, машина выдаст по-настоящему случайный и криптостойкий набор символов. Специалисты по кибербезопасности из компании Irregular решили проверить это убеждение и получили тревожные результаты.

В ходе исследования эксперты дали трём популярным моделям — Claude Opus 4.6, OpenAI GPT-5.2 и Google Gemini 3 Flash — одну и ту же задачу: сгенерировать 50 разных 16-символьных паролей с цифрами, спецсимволами и буквами разного регистра. Каждый запрос выполнялся в отдельном окне диалога, чтобы исключить влияние истории переписки на результат. Первое, что обнаружили специалисты: сервисы проверки сложности паролей дружно признали эти комбинации эталонными. Некоторые онлайн-инструменты даже выдали заключение, что на взлом таких кодов у обычного компьютера уйдут столетия. но проблема в том, что эти сервисы оценивают только длину и разнообразие символов, не учитывая скрытые закономерности.

А закономерности оказались более чем явными. Из 50 паролей, сгенерированных Claude, только 30 оказались уникальными. Остальные 20 либо полностью дублировались, либо имели очевидные совпадения в структуре. Подавляющее большинство комбинаций начинались и заканчивались одними и теми же типами символов. Более того, ни в одном из сгенерированных вариантов не встречалось повторяющихся знаков — что для настоящей случайности практически невероятно. Проверка моделей от OpenAI и Google подтвердила тенденцию: все три нейросети использовали схожие шаблоны при построении паролей.

Особенно это заметно в начале строк — первые несколько символов подчинялись узнаваемым паттернам. Даже когда исследователи обратились к генератору изображений Google Nano Banana Pro с просьбой создать картинку с паролем на стикере, нарисованные комбинации повторяли те же шаблоны, что и текстовые версии Gemini. Чем это опасно на практике? Если злоумышленники узнают о таких уязвимостях, они могут скорректировать свои программы для перебора паролей с учётом этих шаблонов. Вместо хаотичного подбора всех возможных вариантов атака будет строиться на наиболее вероятных комбинациях символов, которые генерируют нейросети.

Реальная сложность 16-символьных ИИ-паролей составляет всего около 27 бит вместо необходимых для надёжной защиты 98 бит. На практике это означает, что подобные коды можно взломать методом грубого перебора за несколько часов, причём даже на оборудовании двадцатилетней давности. Интересно, что Google Gemini при генерации паролей выводил предупреждение: комбинации не рекомендуется использовать для важных аккаунтов, поскольку запрос выполнялся через интерфейс чата.

А вы когда-нибудь пробовали просить нейросеть придумать пароль для своего аккаунта или, может быть, используете для этого менеджер паролей? Расскажите в комментариях.