Claves con IA: ¿seguridad o puerta abierta para ciberataques?

 

Un reciente análisis de Kaspersky alerta sobre la vulnerabilidad de las contraseñas creadas con la ayuda de grandes modelos de lenguaje (LLM), como ChatGPT, Llama y DeepSeek.

Aunque estas herramientas digitales se han popularizado para generar claves supuestamente seguras, el estudio revela que sus contraseñas siguen patrones predecibles que facilitan su descifrado por parte de ciberdelincuentes.

Vulnerabilidades en contraseñas.

Según los expertos, el aumento en la cantidad de servicios que requieren contraseñas ha impulsado el uso de LLM para crear combinaciones que parecen robustas.

Sin embargo, esta práctica puede generar una falsa sensación de seguridad, ya que las contraseñas producidas por estos modelos suelen tener patrones lingüísticos reconocibles.

Alexey Antonov, líder del equipo de Ciencia de Datos en Kaspersky, explicó los resultados de una prueba realizada con mil contraseñas generadas por ChatGPT (de OpenAI), Llama (de Meta) y DeepSeek (China). Así lo explica:

“Todos los modelos saben que una buena contraseña debe consistir en al menos 12 caracteres, incluidos letras mayúsculas y minúsculas, números y símbolos. DeepSeek y Llama a veces generaban contraseñas compuestas por palabras del diccionario, en las cuales, en lugar de algunas letras, había números de forma similar: S@d0w12, M@n@go3, B@n@n@7 (DeepSeek), K5yB0a8dS8, S1mP1eL1on (Llama). Ambos modelos tienden a generar la contraseña ‘password’: P@ssw0rd, P@ssw0rd!23 (DeepSeek), P@ssw0rd1, P@ssw0rdV (Llama). No hace falta decir que dichas contraseñas no son seguras”.

Patrones en contraseñas IA.

Por su parte, ChatGPT genera contraseñas que parecen aleatorias, como qLUx@^9Wp#YZ o P@zq^XWLY#v9, pero el análisis detectó patrones, como la repetida aparición del número 9, lo que limita la verdadera aleatoriedad necesaria para la seguridad.

El estudio también identificó que en un 26% de las contraseñas generadas por ChatGPT, un 32% de Llama y un 29% de DeepSeek faltaban caracteres especiales o números.

Además, DeepSeek y Llama a veces producían claves con menos de 12 caracteres, lo que incrementa su vulnerabilidad ante ataques.

Este patrón predecible facilita que los atacantes aceleren los ataques por fuerza bruta, probando primero combinaciones frecuentes y ahorrando tiempo frente a ataques exhaustivos.

En 2024, Kaspersky desarrolló un algoritmo de aprendizaje automático para evaluar la fortaleza de contraseñas. Los resultados mostraron que casi el 60% de las contraseñas pueden ser descifradas en menos de una hora con tecnología moderna.

Al aplicarlo a las contraseñas generadas por IA, el estudio encontró cifras alarmantes: el 88% de las generadas por DeepSeek y el 87% por Llama eran vulnerables a ataques sofisticados, mientras que en ChatGPT ese porcentaje descendía al 33%.

Antonov analiza que:

“El problema es que los LLM no crean una aleatoriedad verdadera. En su lugar, imitan patrones de datos existentes, lo que hace que sus resultados sean predecibles para los atacantes que entienden cómo funcionan estos modelos”.

Recomendaciones para usuarios.

Frente a esta realidad, Kaspersky recomienda no depender de la IA para crear contraseñas, sino utilizar gestores de contraseñas especializados.

Estas herramientas generan claves con verdadera aleatoriedad criptográfica, almacenan las credenciales en bóvedas seguras protegidas por una contraseña maestra y ofrecen funciones adicionales como autocompletado, sincronización entre dispositivos y monitoreo de brechas.

La recomendación final de Kaspersky es clara:

“Aunque la IA puede asistir en muchas tareas, la generación de contraseñas no es una de ellas. Los patrones y la previsibilidad de las contraseñas creadas por LLM las hacen vulnerables a ser descifradas. En lugar de tomar atajos, invierte en un gestor de contraseñas fiable. En una era donde las filtraciones de datos son frecuentes, una contraseña fuerte y única para cada cuenta es imprescindible.”