1771628315
2026-02-20 20:00:00
大規模言語モデル (LLM) を使用して日常のタスクを簡素化することは、テクノロジー分野では標準になっています。ただし、最近の研究では、すべてのユーザーと開発者に警告しています。ChatGPT、Claude、Gemini などのツールで生成されたパスワードは、見た目よりも安全性がはるかに低いです。 「G7$kL9#mQ2&xP4!w」のようなシーケンスはランダム性の極みであるように見えますが、実際にはハッカーが簡単に悪用できる予測可能なパターンが隠されています。
ランダム性の神話
中心的な問題は、生成人工知能の基本的なアーキテクチャにあります。パスワードを真に安全にするためには、暗号的に安全な擬似乱数生成器 (CSPRNG) に基づいてパスワードを作成する必要があります。このシステムにより、前の文字との関連性がなく、各文字が選択される確率が同じになることが保証されます。
それどころか、LLM は、事前のコンテキストに基づいて、次に可能性の高い「トークン」または要素を予測するように設計されています。この予測的な性質は、定義上、純粋なランダム性とは両立しません。 AI にセキュリティ キーの作成を依頼するとき、モデルはブラインド ドローを実行するのではなく、脆弱性をもたらす内部統計パターンに従って、人間の目にはパスワードに「見える」シーケンスを構築します。
反復的で予測可能なパターン
不定期のグループアナリスト 彼らは市場にある主要モデルの最新バージョンを使って徹底的なテストを実施しましたが、その結果は憂慮すべきものです。 Claude Opus 4.6 の場合、50 回の独立した試行で、モデルは 30 個の一意のパスワードしか生成しませんでした。さらに深刻なのは、特定のシーケンスが 18 回繰り返されたことです。これは、繰り返しの確率が 36% に相当します。
他のモデルにも同様の欠陥があります。 GPT-5.2 は、ほぼすべてのキーが文字「v」で始まるという異常な傾向を示しましたが、Gemini 3 Flash は文字「K」または「k」を体系的に好むことが明らかになりました。これらの傾向を認識している攻撃者にとって、テストできる可能性の範囲は予想よりはるかに小さいため、アカウントを破るのに必要な労力は大幅に軽減されます。
自由落下におけるエントロピー
パスワードの強度は、シャノン エントロピーを使用して測定されます。適切に構築された 16 文字のキーは約 98 ビットのエントロピーを提供するはずで、これによりブルート フォース攻撃をタイムリーに実行することが不可能になります。ただし、Claude Opus によって生成されたキーのエントロピーは 27 ビットのみでした。 GPT-5.2 ではシナリオはさらに悪化しており、20 文字のキーは 20 ビットのエントロピーしか記録しませんでした。
実際には、これは、解読に何年もかかるはずのパスワードが、平均的な家庭用コンピュータでは実際にはわずか数秒で解読できることを意味します。モデルの「温度」（応答の創造性を制御するパラメータ）を調整しなくても、問題は解決します。温度を最大まで上げても、繰り返しパターンは同じままになります。これを最小限に抑えると、AI はすべてのやり取りでまったく同じパスワードを配信し始めます。
ソフトウェア開発におけるリスク
危険はプロのプログラミングの世界にも及びます。 Claude Code や Gemini-CLI などのコード エージェントは、多くの場合、開発者が明示的に要求することなく、これらの弱い認証情報を運用システムに挿入します。コードが詳細なレビューなしで迅速に生成および実装される、いわゆる「バイブコーディング」環境では、これらの脆弱性は最終的にエンドサーバーに到達します。
データ保護を確実にするために、専門家の推奨事項は明らかです。秘密を作成するための AI の使用は避けるべきです。代わりに、ユーザーは専用のパスワード マネージャーを選択し、開発者は openssl rand や /dev/random などの安全な方法を使用するようにエージェントを構成する必要があります。 AI が生成したコードの監査は、現代のサイバーセキュリティにおいてこれまで以上に必須のステップとなっています。
#パスワードは安全ではなく解読されやすい