Heslo z AI? Vypadá silně, ale praskne dřív, než tušíte

Začnu jednoduchou otázkou: Kdybyste potřebovali silné heslo, požádali byste AI, ať vám ho vygeneruje?

Zní to rozumně.

Nástroje jako ChatGPT nebo Copilot dokážou napsat report, koncept e-mailu a dokonce i kousek kódu. Požádat je o 16místné heslo nabité symboly a čísly vypadá jako chytrá zkratka.

Možná si to rozmyslíte.

Co ukázal výzkum

AI nástroje byly nedávno předmětem výzkumu, pracovníci je požádali o vytvoření bezpečných hesel.

Na první pohled výsledky vypadaly skvěle. Dlouhé řetězce střídajících se malých a velkých písmen, čísel a symbolů.

Když je proklepli přes online nástroje pro měření síly hesel, dopadla výborně. Některé nástroje dokonce tvrdily, že by je hackeři lámali stovky let.

Když se ale hesla podrobila pořádné analýze, vyšel najevo úplně jiný obrázek.

Proč AI není náhodná

AI systémy fungují na něčem, čemu se říká „velký jazykový model“ (large language model, LLM). To znamená, že jsou natrénované na předvídání toho, jaký text by měl následovat. Jsou skvělé v tom, aby psaly přirozeně a věrohodně.

Na co ale stavěné nejsou, je vytváření skutečné náhody.

A silná hesla na náhodě stojí.

Když výzkumníci prozkoumali desítky AI hesel, narazili na opakující se vzorce. Některá hesla se duplikovala. Mnohá měla velmi podobnou strukturu.

Zajímavé je, že žádné z nich neobsahovalo opakující se znaky.

Možná to zní jako plus, ale skutečně náhodný řetězec opakování často obsahuje. To, že tam není, naznačuje, že AI hesla nevytváří nepředvídatelně, ale podle naučených pravidel.

Entropie, kterou online testy nevidí

Byla měřena tzv. „entropie“, což je technický pojem pro to, jak nepředvídatelné něco je.

Hesla od AI měla výrazně nižší entropii, než by mělo opravdu náhodné 16místné heslo.

To znamená, že je útočník může mnohem snáz prolomit takzvaným brute-force útokem, kdy se zkoušejí velmi rychle obrovská množství kombinací.

Online kontroly hesel tohle nezachytí, protože koukají jen na viditelnou komplexitu.

Vidí symboly a čísla a předpokládají, že je heslo bezpečné. Skryté vzorce vytvořené AI ale neberou v potaz.

Dokonce i novější modely jako Gemini 3 Pro při žádosti o vygenerování hesla vypisují varování, ať se na chatem vytvořená hesla u citlivých účtů nespoléháte.

To by mělo něco napovědět.

Čemu hesla svěřit

Pokud chcete opravdu bezpečná hesla, používejte správce hesel se zabudovaným generátorem.

Ten pracuje s kryptografickou náhodou, tedy s postupy navrženými přímo pro nepředvídatelný výsledek.

AI je skvělý sluha pro produktivitu, ale mizerný pán pro bezpečnost hesel. Svěřit jí správu hesel je zkrátka krok vedle.