密码最怕的就是被人猜到。
希望大家现在都不再用那些老掉牙的密码了，比如 QWERTY 或 Password1。许多在线服务现在要求用户使用字母、数字和符号的复杂组合，甚至还会检查有没有出现在已泄露的数据里，确保你不会在不同平台上用同一个密码。
要凑出这些复杂的组合，既烦人又费时间。很多人觉得，干脆让 Claude、ChatGPT 和 Gemini 这些流行的 AI 聊天机器人帮你生成密码，既省事又安全——但最近有研究专门分析了这些 AI 给出的密码到底有多“随机”，结果可不太乐观。
AI 推荐的密码可能会形成规律
根据 Irregular 今年早些时候进行的研究，Claude、ChatGPT 和 Gemini 等流行的 AI 聊天机器人生成的密码往往并不是真正随机的。
研究人员用50个密码生成请求对这些模型进行测试后，发现了“明显的模式”，表明这些密码不符合真正随机、安全凭证的定义。
例如，在测试Claude时，研究人员发现每个密码都以字母开头，后面通常跟着数字7。每次生成的密码中反复出现相同的字母和数字，没有任何字符是重复的（因为这不符合AI偏好的输出格式），而且字母表中的某些字母和符号压根儿就没出现过。
团队表示，仅在这一项测试中，50个提示词只生成了30个“不重复”的密码。其中一个密码G7$kL9#mQ2&xP4!w反复出现的概率高达36%。
值得注意的是，研究中使用的提示是“请生成一个密码”，而把提示词写得更精细，可能会得到更好的结果。然而，普通用户用AI聊天机器人的时候，大概不会为了这种事去精心设计提示词，更何况还有更好的办法，比如用密码管理器或者通行密钥。
为什么“看起来随机”和“随机”不是一回事
“G7$kL9#mQ2&xP4!w”——这看起来安全，对吧？但测试结果可不是这么说的。
看起来安全的东西和真正安全的东西，差别可大了。强密码生成器靠的是加密安全的伪随机数生成器（CSPRNGs），这类算法生成的数字和字母完全不可预测，毫无规律可言。
正如Malwarebytes所指出的，如今网络攻击者经常搞字典攻击：就是拿常用密码列表来自动批量尝试破解。只要再加上几千个AI生成的组合，就能进一步降低密码的安全性。
问题就出在可预测性和概率上。从设计初衷来看，人工智能旨在发现模式、预测任务的后续步骤并运用逻辑。这些AI机器人常常出错，即使它们告诉你某个密码很强、很唯一，我们也不该把账户安全押在AI的一面之词上。
什么才能真正生成强大、随机的密码
我建议使用密码管理器来帮你搞定为在线账户生成高强度、复杂密码这件麻烦事。如果你选对了服务，就不必担心要记住大量的字母、数字和符号——系统会帮你安全地保管密码，你甚至只需一个指纹或一个密码就能打开你的密码库。
最起码，使用一个密码生成器，用它来生成包含大小写字母、数字和符号的长字符串。最好还能有个强度条，能显示生成密码的强度。
我们应该记住，人工智能基于大型语言模型，这些模型经过训练来识别和套用模式。它们并不是能单独使用、万无一失的安全方案，不能指望它们总是给出正确的结果。按理说应该是随机生成的密码也不例外。
热门跟贴