Muchos usuarios han comenzado a confiar en modelos de lenguaje como ChatGPT, Claude o Gemini para crear sus claves de acceso. Sin embargo, un reciente estudio publicado por Irregular ha encendido las alarmas: las contraseñas generadas por IA son altamente predecibles, repetitivas y vulnerables ante ciberataques.
El problema de la predictibilidad en los modelos de lenguaje
A diferencia de un generador de números aleatorios, los LLM (Large Language Models) están diseñados para predecir el siguiente token (unidad de texto) más probable basándose en patrones de datos. Esto significa que, por muy compleja que parezca una clave, carece de una verdadera aleatoriedad.
La investigación destaca puntos críticos sobre esta práctica:
- Falta de entropía: Mientras que una contraseña robusta debería tener cerca de 100 bits de entropía, las generadas por IA suelen rondar los 20 a 30 bits.
- Repetición de patrones: Incluso tras realizar 50 peticiones distintas, los modelos tienden a ofrecer resultados idénticos o con variaciones mínimas.
- Vulnerabilidad extrema: Una clave generada por IA que parece segura puede ser descifrada en cuestión de horas o segundos mediante ataques automatizados.
¿Por qué la IA no es un generador de claves aleatorias?
El estudio de Irregular señala que los modelos de lenguaje están optimizados para la coherencia lingüística, lo cual es opuesto a la seguridad criptográfica. «Las contraseñas generadas por LLM son fundamentalmente inseguras», afirma la investigación, ya que la distribución de probabilidad de los caracteres no es uniforme.
Riesgos detectados en el estudio:
- Estructuras de caracteres predecibles según el entrenamiento del modelo.
- Baja resistencia ante ataques de fuerza bruta especializados en patrones de IA.
- Uso de términos comunes y combinaciones de símbolos que se repiten con frecuencia entre distintos usuarios.
Más que IA… Criptografía: ¿Cómo generar contraseñas seguras?
Para garantizar una protección real de nuestras cuentas digitales, los expertos sugieren abandonar el uso de la IA generalista para estos fines y optar por herramientas diseñadas específicamente para la seguridad.
Recomendaciones clave:
- Utilizar gestores de contraseñas (como Bitwarden o 1Password) que integran generadores de alta entropía.
- Emplear generadores basados en CSPRNG (Generador de números pseudoaleatorios criptográficamente seguro).
- Evitar el uso de palabras comunes; incluso términos vulgares aparecen en millones de bases de datos de filtraciones, facilitando el trabajo de los hackers.
En conclusión, aunque la inteligencia artificial es una herramienta poderosa para muchas tareas, la creación de claves de seguridad no es una de ellas. La predictibilidad es la mejor amiga de un atacante y el mayor defecto de un LLM al intentar ser «aleatorio».
