La société de cybersécurité Irregular a publié ses résultats la semaine dernière, et ils sont mauvais pour les chatbots. Sur les trois modèles testés, aucun n’a été capable de produire des mots de passe comme votre gestionnaire habituel véritablement aléatoires. Claude s’en sort le plus mal : 50 requêtes identiques ont produit seulement 23 mots de passe différents, avec une même chaîne de caractères répétée dix fois. ChatGPT et Gemini ne font guère mieux, leurs mots de passe affichent des patterns reconnaissables d’une génération à l’autre. Or un mot de passe prévisible, c’est un mot de passe potentiellement déjà dans la liste d’un attaquant.
Les chercheurs de la société Irregular ont évalué l’entropie des mots de passe produits par les principaux chatbots, autrement dit leur degré d’imprévisibilité réelle. Pour être considéré comme solide, un mot de passe doit atteindre environ 98 bits selon les statistiques de caractères, et 120 bits selon les estimations de probabilité logarithmique. Les mots de passe issus des chatbots testés affichaient respectivement 27 et 20 bits. La note affichée est bonne, mais l’entropie est catastrophique.
Un gestionnaire de mots de passe classique ne « génère » rien au sens créatif du terme. Il interroge le système d’exploitation pour obtenir des bits aléatoires cryptographiques, puis les convertit directement en caractères. Oui, le raisonnement a sa limite, et elle s’appelle chatbot.
Source : Life Hacker, Malwarebytes Labs
