LLM-Generated Passwords Look Strong but Crack in Hours, Researchers Find
2026年2月20日 03:45
🤖 AI Summary
**要点まとめ(日本語)**
- **調査概要**:AIセキュリティ企業 *Irregular* が、Claude、ChatGPT、Gemini といった主要な大規模言語モデル(LLM)で生成されたパスワードを分析した。
- **見た目は強固でも実態は脆弱**:生成されたパスワードは複雑に見えるが、予測可能なパターンに従っており、数時間以内にクラックできることが判明した。
- **実験結果**:Anthropic の Claude Opus 4.6 に 50 回別々に質問したところ、返ってきた 16 文字パスワードはうち 30 しかユニークでなく、18 件は全く同一の文字列だった。
- **エントロピー評価**:LLM が作成したパスワードの推定エントロピーは 20〜27 ビット。真にランダムな 16 文字パスワードが期待する 98〜120 ビットに比べて極端に低い。
- **実用的な危険性**:数十年前のハードウェアでも数時間で総当たり攻撃が可能で、実務上のパスワードとしては安全性が著しく不足している。
**結論**
LLM による「強そう」なパスワード生成は、実際には予測可能性が高く、十分なエントロピーが確保されていない。重要システムの認証情報としては使用すべきでなく、従来通りのランダム生成パスワードやパスフレーズの利用が推奨される。
- **調査概要**:AIセキュリティ企業 *Irregular* が、Claude、ChatGPT、Gemini といった主要な大規模言語モデル(LLM)で生成されたパスワードを分析した。
- **見た目は強固でも実態は脆弱**:生成されたパスワードは複雑に見えるが、予測可能なパターンに従っており、数時間以内にクラックできることが判明した。
- **実験結果**:Anthropic の Claude Opus 4.6 に 50 回別々に質問したところ、返ってきた 16 文字パスワードはうち 30 しかユニークでなく、18 件は全く同一の文字列だった。
- **エントロピー評価**:LLM が作成したパスワードの推定エントロピーは 20〜27 ビット。真にランダムな 16 文字パスワードが期待する 98〜120 ビットに比べて極端に低い。
- **実用的な危険性**:数十年前のハードウェアでも数時間で総当たり攻撃が可能で、実務上のパスワードとしては安全性が著しく不足している。
**結論**
LLM による「強そう」なパスワード生成は、実際には予測可能性が高く、十分なエントロピーが確保されていない。重要システムの認証情報としては使用すべきでなく、従来通りのランダム生成パスワードやパスフレーズの利用が推奨される。
Read more of this story at Slashdot.