Nikada ne tražite od AI ovu "uslugu": Može skupo da vas košta pred hakerima
Dodajte Kurir u vaš Google izborVeštačka inteligencija sve češće pomaže korisnicima u svakodnevnim zadacima, a jedan od njih je i kreiranje lozinki. Međutim, novo istraživanje pokazuje da korišćenje AI modela za ovu namenu može doneti neočekivane bezbednosne rizike. Uprkos sve većem poverenju u AI alate, stručnjaci upozoravaju da upravo ovakva primena može stvoriti lažan osećaj sigurnosti.
Analiza koju je sprovela kompanija Irregular, a proverio Sky News, pokazala je da popularni modeli ChatGPT, Claude i Gemini stvaraju lozinke koje često sadrže ponavljajuće i lako uočljive obrasce. Iako na prvi pogled deluju složeno i sigurno, njihova struktura može biti predvidljivija nego što korisnici očekuju. To znači da napadači u određenim okolnostima mogu imati manji broj mogućih kombinacija za pogađanje nego što se pretpostavlja.
Istraživanje otkrilo slabosti popularnih AI modela
Prema rezultatima analize, veliki jezički modeli nisu najbolji izbor za generisanje lozinki jer ne rade na isti način kao specijalizovani bezbednosni alati. Umesto potpuno nasumičnog stvaranja kombinacija, oni koriste obrasce iz podataka na kojima su trenirani. Upravo ta razlika predstavlja ključni razlog zbog kojeg AI nije idealan izbor za ovako osetljiv zadatak.
Suosnivač kompanije Irregular Dan Lahav upozorio je korisnike da ne bi trebalo da koriste AI za pravljenje lozinki. On je naveo da bi osobe koje su već napravile lozinke na ovaj način trebalo da razmotre njihovu zamenu, jer problem još nije dovoljno poznat javnosti. Prema njegovim rečima, mnogi korisnici nisu ni svesni da ovakve lozinke mogu deliti iste karakteristike.
Zašto AI generisana lozinka može da zavara korisnika
Mnoge AI lozinke izgledaju kao idealne bezbednosne kombinacije jer sadrže velika i mala slova, brojeve i posebne znakove. Ipak, stručnjaci objašnjavaju da sama složenost izgleda nije dovoljna ukoliko postoji obrazac koji napadači mogu da predvide. Vizuelno komplikovana lozinka ne mora automatski da znači i veću otpornost na napade.
Za razliku od alata kao što su sistemi za upravljanje lozinkama, koji koriste kriptografski bezbedne generatore slučajnih vrednosti, AI modeli ne proizvode rezultate na potpuno nasumičan način. Zbog toga mogu napraviti kombinaciju koja izgleda jaka, ali ima skrivene pravilnosti. Te pravilnosti nisu lako uočljive korisnicima, ali mogu biti značajne iz perspektive sajber bezbednosti.
Ponavljanje istih obrazaca kod Claude modela
Irregular je posebno analizirao rezultate dobijene pomoću Claude modela. Od 50 generisanih lozinki, istraživači su pronašli samo 23 jedinstvene kombinacije, dok se jedna od njih pojavila čak deset puta. Takav nivo ponavljanja ne bi trebalo da se javlja kod sistema namenjenih bezbednom generisanju lozinki.
Sky News je zatim nezavisno testirao rezultate i dobio sličan primer. Claude je generisao lozinku koja je imala veoma sličnu strukturu kao one iz istraživanja, što je dodatno ukazalo na problem ponavljajućih obrazaca. Time su rezultati dobili dodatnu potvrdu i van originalnog istraživanja.
ChatGPT i Gemini takođe pokazuju slabosti
Drugi veliki AI modeli nisu bili potpuno izuzeti od ovog problema. ChatGPT i Gemini imali su raznovrsnije rezultate, ali su istraživači i kod njih pronašli određene obrasce u izboru znakova i rasporedu elemenata. Iako nisu pokazali isti nivo ponavljanja kao Claude, ni njihovi rezultati nisu bili potpuno nasumični.
Čak je i Google-ov sistem za generisanje slika NanoBanana pokazao sličnu pojavu kada je korišćen za pravljenje prikaza lozinki na digitalnim beleškama. To pokazuje da problem nije ograničen samo na jedan određeni model. Slični obrasci mogu se pojaviti u različitim AI sistemima zasnovanim na velikim modelima.
Testovi daju pogrešan osećaj sigurnosti
Jedan od problema je što uobičajeni alati za proveru lozinki često ocenjuju AI generisane kombinacije kao veoma jake. Međutim, takvi sistemi uglavnom ne analiziraju način na koji je lozinka nastala. Zbog toga korisnici mogu steći utisak da koriste potpuno bezbednu lozinku.
Zbog toga mogu proceniti da bi računaru bile potrebne ogromne količine vremena da je pogodi, dok bi u stvarnosti poznavanje obrasca moglo značajno smanjiti broj potrebnih pokušaja. Drugim rečima, procena snage ne uzima u obzir potencijalnu predvidljivost same kombinacije.
Rizik se širi i na razvoj softvera
Problem nije ograničen samo na korisnike koji lično traže od AI modela da im napravi lozinku. Sve veći broj programera koristi AI za pisanje koda, zbog čega se slične kombinacije mogu pojaviti unutar aplikacija, programa i internet servisa. Na taj način isti problem može završiti i u stvarnim softverskim rešenjima.
Pretrage na GitHub-u pokazale su prisustvo određenih karakterističnih delova AI generisanih lozinki. Iako su mnogi pronađeni primeri bili samo testni kod ili demonstracije bezbednosnih principa, istraživači su pronašli i slučajeve koji bi mogli biti povezani sa stvarnim sistemima. To pokazuje da rizik nije ograničen samo na teorijska istraživanja.
Preporuka drugačijeg pristupa zaštiti naloga
Stručnjaci za sajber bezbednost navode da je rešenje ovog problema relativno jednostavno. Graeme Stewart iz kompanije Check Point ocenio je da se radi o bezbednosnom riziku koji može imati velike posledice, ali koji se lako može izbeći pravilnim postupcima. Pravilan izbor alata za kreiranje lozinki može značajno smanjiti mogućnost zloupotrebe.
Preporuka je da korisnici koriste pouzdane menadžere lozinki i njihove ugrađene generatore, umesto AI modela za ovu svrhu. Takvi alati stvaraju nasumične kombinacije koje nisu zasnovane na obrascima jezika. Istovremeno omogućavaju čuvanje velikog broja jedinstvenih lozinki bez potrebe da ih korisnik pamti.
Budućnost bez lozinki sve je bliža
Pored sigurnijih načina kreiranja lozinki, stručnjaci sve češće preporučuju prelazak na passkeys tehnologiju. Ona omogućava prijavljivanje pomoću biometrijskih metoda, kao što su otisak prsta ili prepoznavanje lica, bez potrebe za pamćenjem klasičnih lozinki. Sve više velikih tehnoloških kompanija već uvodi podršku za ovakav način prijavljivanja.
Robert Han iz kompanije Entrust istakao je da postoje jednostavniji i sigurniji načini autentifikacije. Dok se takva rešenja ne usvoje svuda, korisnicima ostaje savet da koriste duge i jedinstvene fraze i da izbegavaju generisanje lozinki pomoću AI alata. Stručnjaci poručuju da je za sada najbolja zaštita kombinacija kvalitetnog menadžera lozinki i dodatne dvofaktorske autentifikacije.
Zabranjeno preuzimanje dela ili čitavog teksta i/ili foto/videa, bez navođenja i linkovanja izvora i autora, a u skladu sa odredbama WMG uslova korišćenja i Zakonom o javnom informisanju i medijima.