Senhas geradas por modelos de IA frequentemente parecem fortes, mas, de acordo com um estudo da empresa de segurança de IA Irregular, em muitos casos elas são mais fáceis de adivinhar do que o esperado. A empresa afirma que os resultados são fundamentalmente inseguros quando um modelo de linguagem natural (LLM) gera a senha diretamente, em vez de usar um gerador de números aleatórios seguro.
A empresa cita a diferença de design como a principal razão. Os modelos de linguagem natural são projetados para prever o próximo caractere ou token com base na probabilidade, em vez de selecionar caracteres de forma uniforme e aleatória, como fazem os gerenciadores de senhas com números aleatórios criptograficamente seguros.
Testes com modelos atuais revelaram padrões recorrentes, incluindo caracteres distribuídos de forma desigual, prefixos conspícuos e até mesmo senhas idênticas em múltiplas execuções. O relatório cita o Claude Opus 4.6 como exemplo, onde apenas 30 senhas eram diferentes e uma senha apareceu 18 vezes. Além disso, certos caracteres apareceram com frequência, enquanto outros eram praticamente inexistentes.
O estudo também identifica um risco no desenvolvimento de software, já que agentes de codificação às vezes geram senhas automaticamente sem usar geradores seguros, mesmo que tais ferramentas estejam disponíveis. A Irregular recomenda evitar senhas geradas por LLM, configurar explicitamente os agentes de codificação para geração de senhas seguras e configurar os sistemas de IA para usar, por padrão, fontes aleatórias e gerenciadores de senhas estabelecidos.
