Contraseñas generadas por IA: ¿Una falsa sensación de seguridad que nos deja expuestos?

En nuestro día a día digital, donde cada nueva aplicación o servicio parece pedirnos una contraseña distinta, ¿quién no ha sentido la frustración de tener que idear una clave segura y, a la vez, memorable? Es una tarea ardua, ¿verdad? Por eso, no es de extrañar que muchos hayamos comenzado a buscar atajos, recurriendo a la inteligencia artificial para que nos eche una mano con esa lista interminable de credenciales. Parece una solución brillante, ¿no? ¡Pero aquí es donde la historia toma un giro inesperado!

Expertos en ciberseguridad, como los de Kaspersky, nos lanzan una advertencia crucial: depender de modelos de lenguaje grandes (LLM) como ChatGPT, Llama o DeepSeek para generar nuestras contraseñas podría darnos una falsa sensación de protección. Lejos de ser la panacea, esta práctica podría dejarnos más vulnerables de lo que imaginamos.

La previsibilidad: el talón de Aquiles de nuestras claves «inteligentes»

En un estudio revelador, Kaspersky ha puesto de manifiesto que las contraseñas creadas con ayuda de la IA a menudo caen en patrones predecibles, lo que las convierte en un blanco fácil para los ciberdelincuentes. Alexey Antonov, líder del equipo de Ciencia de Datos en Kaspersky, decidió ponerlo a prueba, generando mil contraseñas con algunos de los LLM más reputados.

¿Qué descubrió? Pues bien, aunque estos modelos saben que una buena contraseña debe tener al menos 12 caracteres, mezclando mayúsculas, minúsculas, números y símbolos, la realidad es que sus creaciones no son tan aleatorias como quisiéramos. Llama y DeepSeek, por ejemplo, a veces generaban contraseñas que parecían sacadas del diccionario, simplemente sustituyendo letras por números, algo así como «S@d0w12» o «M@n@go3». E incluso, ¡se daban el lujo de repetir la palabra «password» en diferentes variaciones como «P@ssw0rd» o «P@ssw0rd!23»! ¿No es sorprendente? Obviamente, este tipo de combinaciones distan mucho de ser seguras.

ChatGPT, por su parte, parecía más ingenioso, generando claves que a primera vista se veían completamente aleatorias. Pero si nos fijamos con atención, los patrones acechan. Por ejemplo, el número 9 aparece con una frecuencia inusual, y símbolos como ‘x’, ‘p’, ‘l’ y ‘L’ son protagonistas recurrentes en las contraseñas generadas por este modelo. Para que una contraseña sea verdaderamente robusta, lo ideal es que todos los caracteres aparezcan con una frecuencia similar.

Por si fuera poco, los algoritmos de estos LLM a menudo se olvidan de incluir un carácter especial o un dígito en la contraseña: el 26% de las veces en ChatGPT, el 32% en Llama y el 29% en DeepSeek. Y para colmo, DeepSeek y Llama a veces crean contraseñas ¡más cortas de los 12 caracteres recomendados!

Por su parte, ChatGPT no sufre de este problema y genera contraseñas que parecen aleatorias. Por ejemplo: • qLUx@^9Wp#YZ • LU#@^9WpYqxZ • YLU@x#Wp9q^Z • YLp^9W#qX@zv • P@zq^XWLY#v9 • v#@LqYXW^9pz • X@9pYWq^#Lzv Sin embargo, si se observa detenidamente, se pueden ver patrones. Por ejemplo, el número 9 aparece con frecuencia.

A continuación, se muestra un histograma de todos los símbolos usados en mil contraseñas generadas por ChatGPT: casi todas contienen los símbolos x, p, l, L…

Frecuencia de caracteres usados en contraseñas generadas por ChatGPT

Por su parte, Llama recurre más al símbolo # y las letras p, l, L.

Frecuencia de caracteres usados en contraseñas generadas por Llama

DeepSeek muestra tendencias similares:

Frecuencia de caracteres usados en contraseñas generadas por DeepSeek

El peligro real: un campo de juego más fácil para los atacantes

Con esta información en sus manos, los ciberdelincuentes pueden acelerar de forma drástica los ataques de fuerza bruta. En lugar de ir probando combinaciones al azar, pueden ir directamente a esas combinaciones más frecuentes o predecibles. Un algoritmo de aprendizaje automático desarrollado por Kaspersky en 2024 demostró lo alarmante de la situación: casi el 60% de las contraseñas pueden descifrarse en menos de una hora con las herramientas adecuadas.

Cuando este algoritmo se puso a prueba con las contraseñas generadas por IA, los resultados fueron, francamente, preocupantes. El 88% de las contraseñas creadas por DeepSeek y el 87% de las de Llama simplemente no eran lo suficientemente fuertes para resistir un ataque de ciberdelincuentes sofisticados. Aunque ChatGPT tuvo un mejor desempeño, con un 33% de sus contraseñas vulnerables, la realidad es que el problema persiste. Como señala Antonov, «los LLM no crean una aleatoriedad verdadera. En su lugar, imitan patrones de datos existentes, lo que hace que sus resultados sean predecibles». ¡Es como si, sin querer, les diéramos una pista a los atacantes!

La solución segura: volviendo a lo esencial con gestores de contraseñas

Entonces, ¿qué hacemos? Si la inteligencia artificial no es la respuesta, ¿dónde encontramos esa seguridad que tanto anhelamos? Los expertos de Kaspersky son claros al respecto: en lugar de apoyarnos en la IA, lo más sensato es utilizar software diseñado específicamente para la gestión de contraseñas, como Kaspersky Password Manager.

Estas herramientas son verdaderos salvavidas digitales y ofrecen ventajas clave:

• Generación de contraseñas robustas: Utilizan generadores criptográficamente seguros para crear contraseñas sin patrones detectables, garantizando una aleatoriedad genuina. Esto nos da una tranquilidad que las contraseñas generadas por IA no pueden ofrecer.
• Almacenamiento blindado: Todas nuestras credenciales se guardan en una bóveda segura, protegida por una única contraseña maestra. ¡Adiós a la necesidad de recordar cientos de claves y a la preocupación por las filtraciones!
• Comodidad y eficiencia: Estos gestores nos facilitan la vida con el autocompletado y la sincronización entre dispositivos, agilizando nuestros inicios de sesión sin sacrificar la seguridad.
• Monitoreo constante: Muchos de ellos incluyen funciones de monitoreo de brechas, que nos alertan si alguna de nuestras credenciales aparece en una filtración de datos. ¡Es como tener un guardián personal para nuestra información!

En definitiva, aunque la inteligencia artificial nos asiste en muchísimas tareas, la generación de contraseñas no es una de ellas. Los patrones y la previsibilidad de las contraseñas creadas por LLM las convierten en un punto débil. En lugar de buscar atajos, es mucho más sensato invertir en un gestor de contraseñas fiable. En una era donde las filtraciones de datos son, lamentablemente, frecuentes, tener una contraseña fuerte y única para cada cuenta es, sencillamente, indispensable