Varning: AI-lösenord som ser starka ut kan vara lätta att knäcka

Samma typ av mönster om och om igen

Säkerhetsfirman Irregular testade flera stora språkmodeller och såg att resultaten ofta blev upprepade, snarlika eller till och med identiska – trots att uppgiften var att skapa “säkra” lösenord med blandning av bokstäver, siffror och specialtecken, det skriver teksajten TechSpot.

I praktiken betyder det att lösenorden kan se slumpmässiga ut vid första anblicken, men ändå vara statistiskt förutsägbara – och därmed enklare att knäcka med rätt gissningslistor.

Därför blir det fel: AI är byggd för sannolikhet, inte slump

Förklaringen ligger i hur stora språkmodeller fungerar. De är tränade för att fortsätta text på ett “troligt” sätt, alltså att välja tecken och mönster som passar in i vad de lärt sig – inte att skapa äkta slump. Resultatet kan bli lösenord som känns komplexa men som saknar den oförutsägbarhet som krävs för hög säkerhet. 

Entropi slår “krånglighet”

Kärnan i lösenordssäkerhet handlar mindre om att lösenordet “ser krångligt ut” och mer om hur svårt det är att förutsäga. NIST, den amerikanska myndigheten som tar fram inflytelserika riktlinjer för digital identitet, betonar att det är svårt att uppskatta verklig entropi i användarvalda lösenord – och lyfter i stället längd (till exempel långa lösenordsfraser) som en mer robust väg till styrka. 

Varningen: lita inte på chattboten för lösenord

Irregular sammanfattar sin rekommendation rakt på sak:

“People and coding agents should not rely on LLMs to generate passwords,” Irregular wrote. 

Budskapet är att problemet inte går att “prompta bort” – eftersom modellen i grunden är optimerad för att vara förutsägbar.

Så gör du i stället

Vill du ha starkare skydd utan att fastna i teckenkrav som bara gör livet svårare finns det ett par praktiska tumregler:

• Använd en lösenordshanterare som kan skapa verkligt slumpmässiga lösenord.
• Satsa på långa lösenordsfraser där det är du som väljer (längd ger ofta bättre skydd än krystad komplexitet). 
• Slå på flerfaktorsautentisering – helst phishing-resistenta alternativ där det går (till exempel säkerhetsnyckel).

AI kan låta övertygande – men säkerhet kräver riktig slump

Det här är en påminnelse om en klassisk säkerhetsprincip: det som ser starkt ut behöver inte vara starkt. När lösenord skapas av ett system som gillar mönster, riskerar “snygg komplexitet” att bli en genväg för angripare.