Utilizar inteligencia artificial (IA) para generar contraseñas es una mala idea. Es probable que esa contraseña caiga en manos de un delincuente, quien podrá usarla en un ataque de diccionario. Este ataque consiste en probar una lista predefinida de contraseñas probables (palabras, frases, patrones) con herramientas automatizadas hasta encontrar una que funcione, en lugar de probar todas las combinaciones posibles.
La empresa de ciberseguridad con IA Irregular probó ChatGPT, Claude y Gemini, y descubrió que las contraseñas que generan son "altamente predecibles" y no realmente aleatorias. Al probar Claude, 50 solicitudes produjeron solo 23 contraseñas únicas. Una cadena apareció 10 veces, mientras que muchas otras compartían la misma estructura.
Esto podría convertirse en un problema.
Tradicionalmente, los atacantes crean o descargan listas de palabras compuestas por contraseñas comunes, filtraciones reales y variantes con patrones (palabras, números y símbolos) para utilizarlas en ataques de diccionario. Añadir aproximadamente mil contraseñas, proporcionadas habitualmente por chatbots de IA, no requiere prácticamente ningún esfuerzo.
Los chatbots de IA están entrenados para proporcionar respuestas basadas en lo que han aprendido. Son buenos prediciendo lo que sucederá a continuación basándose en lo que ya saben, no inventando algo completamente nuevo.
Como lo expresaron los investigadores:
“Los sistemas LLM funcionan prediciendo el siguiente token más probable, lo cual es exactamente lo contrario de lo que requiere la generación de contraseñas seguras: aleatoriedad uniforme e impredecible.”
En el pasado, explicamos por qué las computadoras no son muy buenas generando aleatoriedad. Los administradores de contraseñas solucionan este problema utilizando generadores criptográficos de números aleatorios que incorporan la entropía del mundo real, en lugar de la generación de texto basada en patrones que se observa en los sistemas de gestión de claves (LLM).
En otras palabras, un buen gestor de contraseñas no "inventa" tu contraseña como lo hace una IA. Solicita al sistema operativo bits aleatorios criptográficos y los convierte directamente en caracteres, por lo que no existe ningún patrón oculto que los atacantes puedan aprender.
Aunque un sitio web o plataforma donde ingreses tus contraseñas te indique que son seguras, se aplica el mismo razonamiento básico para no reutilizarlas. ¿De qué sirve una contraseña segura si los ciberdelincuentes ya la conocen?
Como siempre, preferimos las claves de acceso a las contraseñas, pero sabemos que no siempre es posible. Si necesitas usar una contraseña, no dejes que una IA la cree por ti. No es seguro. Y si ya la usaste, considera cambiarla y añadir la autenticación multifactor (2FA) para que tu cuenta sea más segura.
Navega como si nadie te estuviera mirando.
Malwarebytes Privacy VPN Encripta tu conexión y nunca registra lo que haces, así que la próxima historia que leas no tiene por qué ser personal. Pruébalo gratis →
