Sztuczna inteligencja miała łamać hasła. Rzeczywistość okazała się zupełnie inna
Mogłoby się wydawać, że duże modele językowe, które świetnie radzą sobie z pisaniem kodu i analizą danych, poradzą sobie również z łamaniem haseł. Tymczasem najnowsze badania pokazują, że te systemy wciąż są zaskakująco nieudolne w przewidywaniu, jakich haseł używają ludzie.
Modele językowe potrafią pisać kod, streszczać teksty i podpowiadać rozwiązania techniczne, więc łatwo wyobrazić sobie, że mogłyby również zgadywać hasła użytkowników. Badacze z australijskiego Future Data Minds Research Lab sprawdzili jednak, jak jest w praktyce. Ich analiza pokazuje coś odwrotnego. LLM-y, czyli duże modele językowe, mimo imponujących umiejętności językowych, zupełnie nie nadają się do łamania haseł.
Modele nie radzą sobie z hasłami. Mizerna skuteczność
Zespół stworzył zestaw fikcyjnych profili, zawierających imię, datę urodzenia i hobby. Następnie poprosił trzy modele (TinyLLaMA, Falcon-RW-1B i Flan-T5) o generowanie haseł, które mogłyby wybrać takie fikcyjne osoby.
- Oceniliśmy wydajność najnowocześniejszych otwartoźródłowych LLM-ów (…) prosząc je o generowanie wiarygodnych haseł na podstawie uporządkowanych atrybutów użytkowników - podkreślają autorzy.
Wyniki okazały się... rozczarowujące. Metryki, które mierzą trafność zgadywania, wykazały skuteczność poniżej 1,5 procent.
Nasze wyniki (…) ujawniają konsekwentnie słabą wydajność, przy czym wszystkie modele osiągają mniej niż 1,5 proc. dokładności.
Dlaczego LLM-y nie potrafią odgadywać haseł?
Tradycyjne narzędzia do łamania haseł, oparte na regułach i kombinacjach, radzą sobie znacznie lepiej, bo wykorzystują wzorce obecne w wyciekach danych. LLM-y polegają na generowaniu tekstu i nie mają zdolności precyzyjnego odtwarzania przykładów z treningu.
Obecne LLM-y nie posiadają zdolności adaptacji do danej dziedziny ani umiejętności zapamiętywania wymaganych do skutecznego wnioskowania haseł.
Modele potrafią tworzyć spójne zdania, ale nie odwzorują dokładnego, przewidywalnego schematu haseł użytkowników.
Co ta wiedza oznacza dla naszego cyberbezpieczeństwa?
Badanie pokazuje, że LLM-y nie powinny być traktowane jako poważne narzędzie do łamania haseł. Przynajmniej na obecnym etapie rozwoju. Oznacza to, że choć rozwój modeli postępuje szybko, nasze konta wciąż znacznie bardziej narażone są na klasyczne metody ataku niż na inteligentne podpowiedzi sztucznej inteligencji.
Zespół badawczy ocenił dotychczas tylko trzy modele, ale przyszłe badania mogą również ocenić potencjalne możliwości generowania haseł przez inne modele.
Źródło: phys.org
Publikacja: Mohammad Abdul Rehman et al, When Intelligence Fails: An Empirical Study on Why LLMs Struggle with Password Cracking, arXiv (2025). DOI: 10.48550/arxiv.2510.17884
