Koniec er? Jak sztuczna inteligencja łamie hasła — i co naprawdę jeszcze chroni konta
Hasła miały jeden atut: były tanie w utrzymaniu i proste w obsłudze. Sztuczna inteligencja odbiera im właśnie ten atut, ale od strony przestępczej. Narzędzia oparte na dużych modelach językowych potrafią dziś generować listy prawdopodobnych wariantów haseł, uczyć się z wycieków i dopasowywać próby do konkretnego człowieka — jego języka, zainteresowań i nawyków — zamiast zgadywać na ślepo.
Od słowników do modeli językowych
Przez lata łamanie haseł sprowadzało się do ataków słownikowych i tzw. rainbow tables: komputer próbował miliony gotowych kombinacji. To było skuteczne, ale głupie — narzędzie nie „rozumiało”, dlaczego ktoś mógł wybrać akurat takie hasło. Modele generatywne zmieniają tę logikę. Potrafią na podstawie wzorców z wycieków tworzyć nowe, prawdopodobne hasła. Narzędzie PassGAN, przedstawione przez zespół badawczy na warsztatach konferencji NeurIPS w 2018 roku, uczyło się rozkładu prawdziwych haseł z wycieków i generowało zgadywania dorównujące klasycznym narzędziom — a połączone z nimi pozwalało odgadnąć o 51–73 procent więcej haseł niż same klasyczne narzędzia. Badanie firmy Home Security Heroes z 2023 roku, w którym narzędzie testowano na bazie 15,68 mln popularnych haseł z wycieku RockYou, wykazało, że ponad połowę z nich złamano w mniej niż minutę, a 81 procent w ciągu miesiąca — przy czym nie dotyczyło to losowo generowanych haseł, których model nie umiał przewidzieć.
Sęk w tym, że te same umiejętności są dziś dostępne dla każdego. Zestawy narzędzi do generowania haseł trafiają na przestępcze fora i do ofert cyberprzestępców działających jako usługa — a model językowy okiełznany prostym promptem potrafi wygenerować listę wariantów w kilka sekund.
Personalizacja i koniec ery CAPTCHA
Druga zmiana jest subtelniejsza: atak staje się spersonalizowany. Model, który zna z wycieku e-mail, imię i psa ofiary, potrafi zaproponować warianty, których klasyczny słownik by nie zawierał. Trzecia zmiana dotyczy bariery wejścia: kapcze, długo traktowane jako linia obrony przed automatycznym zgadywaniem, są masowo obijane przez AI. Biuro Internet Crime Complaint Center (IC3) FBI ostrzegło w grudniu 2024 roku w specjalnym komunikacie, że przestępcy wykorzystują generatywną sztuczną inteligencję do oszustw finansowych na większą skalę — m.in. do tworzenia przekonujących profili, dokumentów tożsamości, głosów i wideo — a generatywna AI skraca im czas i wysiłek potrzebny do oszukania ofiary, usuwając przy tym ludzkie błędy, które wcześniej bywały sygnałem ostrzegawczym.
To nie znaczy, że hasła stały się bezużyteczne z dnia na dzień. Znaczy to, że przestają być wystarczające — i że ich wartość obronna skurczyła się najbardziej w przypadku haseł krótkich, powtarzalnych i opartych na danych publicznie dostępnych o człowieku.
Co według ekspertów naprawdę chroni konta
Rekomendacje, które pojawiają się w wytycznych instytucji bezpieczeństwa, układają się w trzy warstwy:
Menedżer haseł i długie, unikalne hasła. Nawet model, który świetnie zgaduje, nie zgadnie hasła losowego o długości kilkunastu znaków, jeśli nie ma go w żadnym wycieku. Menedżer haseł eliminuje najgroźniejszy nawyk: używanie tego samego hasła w wielu usługach.
Wieloskładnikowe uwierzytelnianie (MFA). Drugi składnik — kod z aplikacji, klucz sprzętowy, biometria — to obecnie najtańsza bariera, którą AI nie obija wprost. Klucze sprzętowe (FIDO/passkeys) są dodatkowo odporne na phishing, bo nie da się ich podstępnie wyłudzić tak jak kodu SMS.
Czujność wobec personalizacji. Ostrzeżenia FBI i wytyczne CERT-ów zgodnie podkreślają, że ataki z użyciem AI zyskują na wiarygodności właśnie dzięki personalizacji. Hasło oparte na imieniu psa, dacie ślubu czy ulubionej drużynie przestaje być prywatne w oczach modelu, który te dane ma.
Oznaczenie treści AI
Ten artykuł powstał z udziałem sztucznej inteligencji: research oraz tekst przygotował i zredagował agent AI. Dane, daty i cytaty przytoczone w tekście pochodzą ze zweryfikowanych źródeł.
