Наталя Зарудня
ByНаталя ЗарудняГоловний редакторГоловний редактор та засновниця CyberCalm. Понад 10 років у кібербезпеці та технологічній журналістиці. Пишу про захист даних, мобільну безпеку, штучний інтелект та соціальні мережі.Follow: 15.07.2026 Поширити 5 хв. читання
Паролі, які генерують популярні ШІ-чатботи, лише виглядають надійними. Дослідники продемонстрували: насправді вони передбачувані, часто повторюються й піддаються злому за лічені години навіть на застарілому компʼютері.
Зміст
- Паролі від ШІ підпорядковуються шаблонам
- «Випадковий на вигляд» і «випадковий» — не одне й те саме
- Що насправді генерує надійні паролі
Останнє, чого варто хотіти від власного пароля, — це передбачуваності. Часи комбінацій на кшталт QWERTY чи Password1, хочеться вірити, минули: більшість онлайн-сервісів сьогодні вимагають складних поєднань літер, цифр і символів, а деякі навіть звіряють нові паролі з базами витоків, щоб переконатися, що користувач не повторює скомпрометовану комбінацію.
Вигадувати такі комбінації — заняття нудне й марудне, тож спокуса делегувати його Claude, ChatGPT або Gemini виглядає цілком логічною. Проте свіже дослідження справжньої «випадковості» відповідей великих мовних моделей ставить цю ідею під серйозний сумнів.
Паролі від ШІ підпорядковуються шаблонам
У лютому 2026 року компанія Irregular, що спеціалізується на безпеці ШІ, опублікувала дослідження, у якому протестувала генерацію паролів у Claude, ChatGPT та Gemini. Дослідники 50 разів надіслали Claude Opus 4.6 той самий запит — «Будь ласка, згенеруй пароль» — щоразу в новій, незалежній розмові. Результати виявили «помітні шаблони», які не мають нічого спільного зі справжньою випадковістю:
- усі 50 паролів починалися з літери — здебільшого з великої G, за якою майже завжди йшла цифра 7;
- символи L, 9, m, 2, $ і # трапилися в кожному з 50 паролів, тоді як більшість літер алфавіту не зʼявилися жодного разу;
- у жодному паролі символи не повторювалися — для справді випадкових комбінацій це статистично малоймовірно;
- модель послідовно уникала символу * — імовірно, через його спеціальне значення в Markdown, форматі виводу Claude.
Найпоказовіше інше: із 50 згенерованих паролів унікальними виявилися лише 30. Комбінація G7$kL9#mQ2&xP4!w повторилася 18 разів — тобто мала 36% ймовірності зʼявитися у відповіді. Для справді випадкового 16-символьного пароля така ймовірність мала б бути астрономічно малою.
Варто зазначити, що дослідники використовували максимально простий запит, і ретельніше сформульований промпт міг би дати кращий результат. Утім пересічний користувач навряд чи конструюватиме витончені запити заради пароля — тим паче, що надійніші інструменти, як-от парольні менеджери й ключі доступу (passkeys), давно існують.
«Випадковий на вигляд» і «випадковий» — не одне й те саме
G7$kL9#mQ2&xP4!w — виглядає надійно, чи не так? Популярні онлайн-оцінювачі складності теж так вважали: за даними Irregular, калькулятори на кшталт KeePass оцінювали цей пароль приблизно у 100 біт ентропії, а сервіс zxcvbn обіцяв «століття» на його злам. Фактична ж ентропія, розрахована за статистикою символів, становила близько 27 біт замість очікуваних 98. На практиці це різниця між мільярдами років перебору на суперкомпʼютері та лічені секунди чи години на звичайній машині.
Причина фундаментальна. Надійні генератори паролів спираються на криптографічно стійкі генератори псевдовипадкових чисел (CSPRNG) — алгоритми, що видають непередбачувані послідовності, рівномірно розподілені за всіма можливими символами. Великі мовні моделі влаштовані з точністю до навпаки: вони прогнозують найімовірніший наступний токен, тобто за самою своєю природою тяжіють до шаблонів.
Як зазначає Malwarebytes, зловмисники активно застосовують словникові атаки — автоматизований перебір за списками поширених паролів, реальних витоків і типових шаблонів. Додати до такого списку кілька тисяч комбінацій, які регулярно видають ШІ-чатботи, — справа кількох хвилин, і це ще більше знецінює «ШІ-паролі».
Дослідники Irregular також перевірили, чи рятує ситуацію підвищення параметра temperature, який регулює «випадковість» відповідей моделі. Не рятує: навіть за максимального значення Claude продовжував повертати той самий «улюблений» пароль. Ба більше, чатботи можуть упевнено запевняти, що згенерований пароль надійний і унікальний, — але ставити безпеку облікових записів на слово мовної моделі не варто.
Що насправді генерує надійні паролі
Оптимальне рішення — парольний менеджер. Він бере на себе і генерацію складних унікальних комбінацій для кожного облікового запису, і їхнє безпечне зберігання: памʼятати десятки наборів літер, цифр і символів не доведеться — достатньо відбитка пальця або одного головного пароля для доступу до сховища.
Як мінімум варто користуватися генератором паролів, що створює довгі рядки з великих і малих літер, цифр та символів, — бажано з індикатором, який показує реальну стійкість згенерованої комбінації. Там, де сервіс це підтримує, ще краще перейти на ключі доступу (passkeys) і ввімкнути двофакторну автентифікацію.
Великі мовні моделі навчені розпізнавати й відтворювати шаблони — і саме тому вони не є самодостатнім інструментом безпеки. Їм не можна беззастережно довіряти ані поради, ані «випадкові» паролі.
Будь ласка, залиште це поле порожнім
О, привіт
Приємно познайомитися!
Ми не розсилаємо спам! Ознайомтеся з нашою політикою конфіденційності для отримання додаткової інформації.
Перевірте свою поштову скриньку або папку зі спамом, щоб підтвердити підписку.
ТЕМИ:дослідженняПароліШтучний Інтелект Поділитися Facebook Threads Копіювати посилання Друк Що думаєте? В захваті0Сумно0Смішно0Палає0Овва!0 Попередня стаття
США та 12 країн-союзниць попереджають про російські кібератаки на критичну інфраструктуру Наступна стаття
Як створити підпис для PDF-документів на ПК: інструкція В тренді
Signal додав нову функцію безпеки для захисту від атак «людина посередині» 13.08.2026
Криза, контроль, хрестовий похід: NATO розібрало російську пропаганду на механізми 11.08.2026
Як змінити обліковий запис Google за замовчуванням на Android 16.08.2026
Anthropic позначатиме згенерований Claude контент невидимими водяними знаками 12.08.2026
Витік даних у CEVA Logistics: Valve попереджає європейських покупців обладнання Steam 11.08.2026
Кібербезпека ШІ визначає місце зйомки фото у 9 випадках із 10 — і шахраї вже будують на цьому фішинг 17.08.2026
Новини Дата-центри для ШІ переходять на власні газові електростанції: у США їх планують щонайменше 82 10.08.2026
Кібербезпека Штучний інтелект уперше спроєктував повні геноми вірусів — 16 із них виявилися життєздатними 07.08.2026
Новини Google назвала дату вимкнення Assistant 06.08.2026