Uma análise conduzida por especialistas em cibersegurança revelou que senhas geradas por grandes modelos de linguagem, como o ChatGPT da OpenAI, o Gemini do Google e o Claude da Anthropic, podem ser menos seguras do que aparentam. A pesquisa, realizada pela empresa Irregular, identificou padrões comuns e repetições nas sequências criadas pelas IAs, o que as tornaria mais previsíveis e vulneráveis a ataques de força bruta ou dicionário aprimorados.
O estudo e os padrões identificados
Os pesquisadores solicitaram a geração de senhas de 16 caracteres, contendo letras maiúsculas, minúsculas, números e símbolos especiais, a cada uma das três plataformas. Verificadores online comuns classificaram essas senhas como "fortes", estimando que levaria séculos para quebrá-las. No entanto, uma análise mais profunda dos padrões gerados expôs uma vulnerabilidade fundamental.
Em testes com o Claude, por exemplo, foram feitas 50 solicitações distintas. O resultado foi alarmante: apenas 30 senhas eram únicas, sendo 20 delas duplicadas. Além disso, a grande maioria das sequências começava e terminava com os mesmos caracteres, estabelecendo um padrão claro. Cenários semelhantes foram observados com o GPT-5.2 da OpenAI e o Gemini 3 Flash, onde as senhas exibiam estruturas iniciais muito parecidas.
O risco da previsibilidade algorítmica
O perigo central reside na previsibilidade inerente aos modelos de linguagem. Eles são treinados para gerar texto plausível e coerente, o que, paradoxalmente, os leva a produzir sequências que seguem certos padrões estatísticos. Se cibercriminosos compreenderem esses padrões, podem refinar seus ataques, criando listas de senhas prováveis que priorizem as combinações mais frequentes geradas pelas IAs, reduzindo drasticamente o tempo necessário para uma quebra bem-sucedida.
"O que parece ser uma credencial complexa se torna uma senha bastante previsível que pode ser decifrada em poucas horas", alertam os especialistas. A força aparente é, portanto, uma ilusão criada pela complexidade superficial, mas não pela verdadeira aleatoriedade.
Resposta das ferramentas e recomendações
Curiosamente, durante os testes, o Gemini 3 Pro foi a única ferramenta que retornou com um aviso de segurança explícito, sugerindo que as senhas geradas não deveriam ser usadas para proteger contas com informações sensíveis e oferecendo uma opção "alfanumérico aleatório" que apresentou uma sequência menos padronizada.
Para profissionais de segurança e usuários finais, a lição é clara: não confie cegamente em senhas geradas por IA para proteger ativos críticos. O uso de gerenciadores de senhas dedicados, que utilizam algoritmos criptograficamente seguros para geração de credenciais, continua sendo a prática recomendada. Além disso, a implementação da autenticação multifator (MFA) é essencial para adicionar uma camada extra de proteção, mitigando o risco mesmo que uma senha seja comprometida.
Implicações para a segurança corporativa
Este alerta tem implicações diretas para políticas de segurança corporativa. Com a adoção crescente de assistentes de IA no ambiente de trabalho, é crucial que os times de segurança da informação eduquem os colaboradores sobre os riscos de usar essas ferramentas para criar credenciais de sistemas internos, VPNs ou contas administrativas. A dependência de senhas "aparentemente fortes" mas previsíveis pode criar uma falsa sensação de segurança e abrir brechas exploráveis.