Sempre più persone utilizzano i chatbot AI, come ChatGPT o Claude, per creare password per i propri account online. È una buona idea? Secondo vari ricercatori no, e per vari motivi: prevedibilità, risposte ripetute e bassa entropia.
Abbiamo chiesto anche noi a ChatGPT di creare una password sicura e il risultato sembrava perfetto, ma non lo è. In questo post ti spieghiamo perché le password generate con i chatbot AI non sono davvero sicure, come funzionano e come creare e salvare password efficaci per i tuoi account online.
In questo articolo:
- Password generate dai chatbot AI: sono sicure?
- Esperimento con ChatGPT e Gemini
- Perché le password generate con l’AI non sono davvero sicure?
- Perché le password create dall’AI sono un rischio concreto per la sicurezza?
- Come generare password robuste e uniche per i tuoi account online
Buona lettura!
Password generate dai chatbot: sono sicure?
I chatbot AI sono una tecnologia relativamente nuova, ma le persone li usano già per fare moltissime cose, come scrivere un’email dettagliata, la scheda della palestra e perfino creare le password per i propri account online.
Un gruppo di ricercatori affiliati a un’azienda di password manager si è chiesto se gli LLM, cioè i modelli di linguaggio di grandi dimensioni alle spalle dei chatbot, siano effettivamente in grado di generare password sicure e uniche.
La loro conclusione è chiara: no, i chatbot AI non possono creare password davvero sicure. In più, poiché possono ripetere la stessa risposta se interrogati più volte, rischiano di compromettere la sicurezza di più account.
Esperimento: chiediamo a ChatGPT e Gemini di creare una password
Per vederci chiaro, abbiamo voluto ripetere rapidamente l’esperimento chiedendo a ChatGPT e Gemini di creare una password. Per farlo, abbiamo usato questo prompt: “crea una password sicura per un account online”, che simula un’interazione reale con un utente comune.
Abbiamo appositamente evitato di formulare una domanda dettagliata e tecnica – ad esempio “crea una password alfanumerica lunga, complessa, unica ecc.” – per non falsare i risultati. Vediamo cos’hanno risposto:
Risposta di ChatGPT:
“Ecco una password sicura, generata in modo casuale: r7$QvL2!xM9@tZ4#
Perché è robusta:
- 16 caratteri
- lettere maiuscole e minuscole
- numeri e simboli
- nessuna parola riconoscibile
- alta imprevedibilità”
Risposta di Gemini:
“Certo, ecco una nuova password generata per essere estremamente sicura. È un mix bilanciato di caratteri che segue i migliori standard di sicurezza attuali: X#p9!mQ2*rL4_zT8
Perché questa password è efficace?
- Lunghezza: Ha 16 caratteri (la soglia minima consigliata oggi per l’alta sicurezza).
- Entropia: Mescola maiuscole, minuscole, numeri e simboli, rendendo quasi impossibile un attacco di “forza bruta”.
- Nessun pattern: Non contiene parole di dizionario, date di nascita o sequenze prevedibili (come “123”).”
A prima vista, le password generate da Gemini e ChatGPT sembrano sicure, perché contengono molti caratteri e una combinazione di maiuscole, minuscole, numeri e caratteri speciali.
Tuttavia, ci sono tre problemi:
- La password non è davvero casuale, perché gli LLM non sono motori crittografici.
- Una password alfanumerica di questo tipo, anche se fosse sicura, sarebbe molto difficile da ricordare.
- I chatbot che abbiamo interrogato non propongono passphrase, come Elefante-Zafferano-Pianoforte-42-Luna che, se ben generate, sono più resistenti e contemporaneamente facili da ricordare.
Andiamo a vedere più nel dettaglio cosa succede quando chiediamo a un chatbot AI di creare una password.
Perché le password generate dai chatbot AI non sono sicure?
Ci sono vari motivi per cui non dovresti chiedere al tuo chatbot AI di creare password. L’AI genera password che sembrano casuali, ma non lo sono.
Vediamo cosa succede se chiediamo a ChatGPT di generare 80 password, invece di una:
- F7!qZ@2mR#9vLp$8Xc
- K9@mT2#vLpX!8nR$4q
- vQ7!mZ2#L9@pR4$Xn6
- G7$kL9#mQ2&xP4!wZ
- T$9kL#mQ2vX&pN7wR
- k7#Tm9$xQ2!pL4wZ
- vN7!qP3#Zt8@Lm2$Xc
- x7$Km9#pL2@qW4!zN
- M2@qL9#vX!pR7$kZ8
- Z8!pL2#mQ@7vX$k9R
- L9#kQ2@vX!mR7$pZ8
- pX7!kL9@mQ2#vR$8Z
- R7!vQ2#mL9@pX$k8Z
- X!pR7$kL9@mQ2#vZ8
- vL9@pR7$kQ2#mX!Z8
- Q2#vX!pR7$kL9@mZ8
- kL9@mQ2#vX!pR7$Z8
- pR7$kL9@mQ2#vX!Z8
- vX!pR7$kL9@mQ2#Z8
- L9@mQ2#vX!pR7$kZ8
- a9!K#2Lp@X7mR$5qZ
- b7@Q!mZ2#L9pR$4Xc
- c8#v!Q2mL9@pR$7Xk
- d6$k!Q2Lp9@mR#X7Z
- e5!vQ2#L9@pR7$XmZ
- f4@kL9#mQ2!vX$7pZ
- g3#L9@vQ2!mR7$XpZ
- h2!Q2#L9@pR7$kXmZ
- j1@kL9#mQ2!vX$7pZ
- k9#v!Q2mL8@pR$7Xc
- L8@pR7$kQ2#mX!Z9v
- M7#v!Q2mL9@pR$8Xc
- N6$k!Q2Lp9@mR#X8Z
- P5!vQ2#L9@pR8$XmZ
- Q4@kL9#mQ2!vX$8pZ
- R3#L9@vQ2!mR8$XpZ
- S2!Q2#L9@pR8$kXmZ
- T1@kL9#mQ2!vX$8pZ
- U9#v!Q2mL8@pR$8Xc
- V8$k!Q2Lp9@mR#X8Z
- W7!vQ2#L9@pR8$XmZ
- X6@kL9#mQ2!vX$8pZ
- Y5#L9@vQ2!mR8$XpZ
- Z4!Q2#L9@pR8$kXmZ
- A3@kL9#mQ2!vX$8pZ
- B2#v!Q2mL8@pR$8Xc
- C1$k!Q2Lp9@mR#X8Z
- D9!vQ2#L9@pR8$XmZ
- E8@kL9#mQ2!vX$8pZ
- F7#L9@vQ2!mR8$XpZ
- G6!Q2#L9@pR8$kXmZ
- H5@kL9#mQ2!vX$8pZ
- I4#v!Q2mL8@pR$8Xc
- J3$k!Q2Lp9@mR#X8Z
- K2!vQ2#L9@pR8$XmZ
- L1@kL9#mQ2!vX$8pZ
- M9#L9@vQ2!mR8$XpZ
- N8!Q2#L9@pR8$kXmZ
- O7@kL9#mQ2!vX$8pZ
- P6#v!Q2mL8@pR$8Xc
- Q5$k!Q2Lp9@mR#X8Z
- R4!vQ2#L9@pR8$XmZ
- S3@kL9#mQ2!vX$8pZ
- T2#L9@vQ2!mR8$XpZ
- U1!Q2#L9@pR8$kXmZ
- V9@kL9#mQ2!vX$8pZ
- W8#v!Q2mL8@pR$8Xc
- X7$k!Q2Lp9@mR#X8Z
- Y6!vQ2#L9@pR8$XmZ
- Z5@kL9#mQ2!vX$8pZ
- a4#L9@vQ2!mR8$XpZ
- b3!Q2#L9@pR8$kXmZ
- c2@kL9#mQ2!vX$8pZ
- d1#v!Q2mL8@pR$8Xc
- e9$k!Q2Lp9@mR#X8Z
- f8!vQ2#L9@pR8$XmZ
- g7@kL9#mQ2!vX$8pZ
- h6#L9@vQ2!mR8$XpZ
- j5!Q2#L9@pR8$kXmZ
- k4@kL9#mQ2!vX$8pZ
Se guardi bene, noterai che i simboli utilizzati sono sempre gli stessi (! @ # $), ma soprattutto le password hanno una struttura ricorrente. Ad esempio finiscono con gruppi di caratteri simili o iniziano con una combinazione di lettera minuscola + numero + simbolo, tra l’altro creati in modo incrementale. (Le lettere sono in ordine alfabetico e i numeri in ordine crescente).
Questo succede perché l’AI non è un algoritmo di crittografia e non può realmente generare una password alfanumerica casuale. L’AI risponde in base alla probabilità che una parola sia seguita da un’altra, per cui le risposte tendono a essere ripetitive e prevedibili.
Bassa entropia
La complessità di una password è definita dalla sua entropia, cioè da quanto è difficile indovinarla con un attacco di forza bruta, a dizionario o con un generatore casuale.
Più è complessa la password, più aumenta l’entropia e più sarà difficile indovinarla. Ad esempio, una password alfanumerica composta da 16 caratteri è molto più difficile da indovinare rispetto a una che ne contiene solo 10.
Se le password generate dai chatbot AI si ripetono o hanno una struttura simile, l’entropia reale si abbassa, anche se a prima vista sembrano sequenze casuali e incomprensibili di caratteri.
Ripetitività
Le password generate con l’AI sono pericolose anche per un altro motivo. Il chatbot può consigliare la stessa password che ha già fornito in precedenza.
Questo significa che, senza saperlo, un utente potrebbe usare la stessa password – o una molto simile – per proteggere due o tre account diversi. In questo modo, se le credenziali di uno di questi account venissero trafugate, i criminali informatici potrebbero usarle per violare anche gli altri account (infatti è una delle prime cose che fanno, quando trovano una password che funziona).
Illusione di sicurezza
Le password generate con l’AI sembrano casuali ed efficaci, per cui possono indurre molte persone a usarle, amplificando ancora di più la vulnerabilità. Come vedremo a breve, il problema sta proprio nell’illusione di sicurezza che creano, che porta perfino programmatori e sviluppatori web a usarle.
Perché le password generate con l’AI sono un rischio concreto per la sicurezza?
Ci sono vari motivi per cui creare le password con l’AI rende più vulnerabili gli account e i sistemi online, e hanno a che vedere con chi usa le password:
- Utenti non esperti. La maggior parte delle persone che chiede a ChatGPT di creare una password non è in grado di valutare la complessità e la robustezza di una password, né di sapere se è simile o addirittura uguale a una password che gli è stata suggerita in precedenza.
- Sviluppatori web e programmatori. Molti usano i chatbot AI per il vibe coding, cioè per programmare in modo intuitivo tramite i chatbot. In queste interazioni, gli sviluppatori possono anche chiedere all’AI di generare coppie di credenziali e distribuirle agli utenti di reti e sistemi.
- Agenti AI. Infine, un browser con funzioni AI potrebbe avere l’autorizzazione per creare e configurare account per conto dell’utente, ad esempio per accedere a un sito e acquistare prodotti. Qui, il chatbot potrebbe usare una password poco robusta e prevedibile, rendendo il nuovo account più facile da violare.
I ricercatori che hanno notato questo problema di sicurezza dei chatbot AI sostengono che presto torneranno gli attacchi di forza bruta di venti anni fa. Quando i cybercriminali usavano dei programmini per provare ad accedere agli account online con migliaia di credenziali rubate o generate automaticamente.
In realtà non si tratta di una situazione così drammatica, ma è importante sottolineare che i chatbot AI come ChatGPT o Gemini non sono gli strumenti giusti per creare password.
Come creare password sicure per i tuoi account online
Nel corso degli anni abbiamo dedicato molti articoli del nostro blog a questo argomento, e siamo certi che ormai molti di voi sanno cosa vuol dire una “password sicura”.
Questa volta vogliamo concentrarci su alcuni consigli pratici, per aiutarti a proteggere i tuoi account online:
- Crea le password con un password manager dedicato. I chatbot AI sono strumenti versatili e potenti, ma non vanno bene per tutto. Per le password, ci vuole un password manager, come Panda Dome Passwords o quello integrato nel browser. Questi programmi generano password realmente casuali e uniche, a differenza di quelle create dai chatbot che ne hanno solo l’apparenza.
- Salva le password con un password manager. Questi programmi sono utili non solo perché creano password robuste, ma anche perché le memorizzano al posto tuo. Non serve a niente avere una password alfanumerica complessissima, se poi non te la ricordi.
- Usa una passphrase come master password. I password manager hanno bisogno di una password principale e unica, con cui puoi accedere a tutte le credenziali salvate. Qui, ti consigliamo di usare una passphrase, perché è molto più facile da ricordare e anche più resistente rispetto alle tipiche password alfanumeriche casuali.
- Non riutilizzare mai le password per più account. Ricorda che se qualcuno riuscisse a rubarti una password, potrebbe accedere a tutti gli altri account su cui la usi.
- Imposta l’autenticazione a due fattori e le passkey. Le password da sole ormai non sono più sufficienti: è indispensabile impostare l’autenticazione a 2 fattori e una passkey, ad esempio sul telefono personale.
In questo post abbiamo visto che i chatbot AI come Gemini, Claude o Grok non sono bravi a creare password davvero casuali, robuste e uniche, per cui è meglio usare i software specializzati in questo campo: i password manager.
Per concludere, vogliamo ricordare che l’intelligenza artificiale generativa è potentissima e può aiutarci in tantissimi campi, ma dobbiamo sempre tenere a mente che non pensa davvero come un essere umano e non può sostituire i software specializzati.
CONTINUA A LEGGERE: 7 errori di autenticazione delle aziende e come evitarli
Buona navigazione e buona gestione sicura delle password senza AI!
