ИИ не умеет читать мысли. Но он превосходно анализирует статистику, психологию пользователей и огромные массивы данных. Именно поэтому безопасность паролей сегодня зависит не столько от их сложности, сколько от степени случайности.

Как ИИ изучает человеческие привычки

Главное преимущество искусственного интеллекта перед классическими инструментами заключается в способности обучаться.

За последние годы в интернете появились огромные базы утекших паролей — LinkedIn, Yahoo, Adobe, Dropbox, RockYou и многих других сервисов. Совокупно они содержат миллиарды реальных паролей.

Для человека подобный объем информации бесполезен. Для нейросети — это идеальный учебный материал.

Во время обучения модель не запоминает каждый пароль по отдельности. Она изучает закономерности их построения:

• какие слова люди используют чаще всего;

• какие годы рождения встречаются наиболее часто;

• какие специальные символы предпочитают пользователи;

• где обычно располагаются цифры;

• как изменяются буквы (a → @, o → 0, e → 3, s → $);

• какие последовательности символов наиболее вероятны.

Например, вместо случайного перебора ИИ быстро понимает, что конструкции вроде:

Alex1995!

Ivan2002#

Qwerty123

Summer2025

Password1!

встречаются значительно чаще полностью случайных строк.

По сути нейросеть строит карту вероятностей человеческого поведения.

ИИ больше не перебирает — он предсказывает

Классический брутфорс рассматривает все комбинации одинаково.

Для него пароли Password2024! и X7m#Q2!aLp9@Zf

имеют одинаковый приоритет.

Для искусственного интеллекта ситуация совершенно иная.

Он знает, что первый вариант встречается в миллионы раз чаще второго.

Поэтому поиск начинается именно с наиболее вероятных комбинаций.

Фактически ИИ отвечает на вопрос:

"Если бы я был человеком, какой пароль я бы придумал?"

Именно поэтому многие старые рекомендации по созданию паролей сегодня практически потеряли актуальность.

Генеративные модели: PassGAN и новое поколение атак

Одним из наиболее известных исследований стала модель PassGAN, основанная на архитектуре генеративно-состязательных сетей (GAN).

В работе участвуют две нейросети.

Генератор

Пытается создавать максимально правдоподобные пароли.

Дискриминатор

Определяет, является ли пароль настоящим или сгенерированным.

Во время постоянного соревнования генератор постепенно учится создавать пароли, практически неотличимые от тех, что придумывают реальные люди.

Главное преимущество такого подхода заключается в том, что модель начинает генерировать пароли, которых никогда не существовало в утечках, но которые выглядят абсолютно естественно.

Вместо словаря из миллионов строк злоумышленник получает практически бесконечный поток наиболее вероятных вариантов.

Исследования показали, что подобные модели способны значительно повысить эффективность атак по сравнению с традиционными словарями. Однако точные цифры (например, "в 2,4 раза быстрее" или "51% паролей за час") сильно зависят от используемой выборки, длины паролей, алгоритма хэширования и условий эксперимента, поэтому их нельзя считать универсальными для всех систем.

Самая опасная атака — персонализированный подбор

Наиболее эффективным направлением сегодня считается не массовый перебор, а персонализированные атаки.

Для этого используется OSINT (Open Source Intelligence) — сбор информации из открытых источников.

Современный ИИ способен автоматически анализировать:

• социальные сети;

• фотографии;

• публичные комментарии;

• профили на форумах;

• профессиональные сайты;

• утечки данных;

• старые пароли;

• адреса электронной почты;

• телефонные номера.

После обработки информации модель выделяет наиболее важные сущности:

• имя;

• фамилию;

• дату рождения;

• имена детей;

• клички домашних животных;

• любимые фильмы;

• музыкальные группы;

• спортивные клубы;

• названия городов;

• хобби;

• игровые никнеймы.

Затем эти данные комбинируются с изученными ранее шаблонами.

Например, если пользователь регулярно публикует фотографии собаки по кличке Рекс, болеет за определенный футбольный клуб и родился в 1990 году, ИИ может автоматически сформировать множество вероятных комбинаций на основе этих данных.

Важно понимать, что современные атаки не ограничиваются десятком очевидных вариантов. Генерируются тысячи комбинаций с различными регистрами, заменами символов, перестановками, добавлением дат и других распространенных шаблонов.

Именно поэтому использование личной информации в паролях сегодня считается одной из самых серьезных ошибок.

Почему "сложный" пароль может оказаться слабым

Долгое время существовало убеждение:

"Достаточно заменить несколько букв символами — и пароль станет надежным."

Например:

Password

превращается в

P@ssw0rd!

Еще десять лет назад подобная замена действительно усложняла подбор.

Сегодня нейросети обучены именно на таких преобразованиях.

Они прекрасно знают, что:

• a часто заменяется на @;

• o — на 0;

• i — на 1;

• e — на 3;

• s — на $.

Поэтому подобные варианты проверяются практически сразу.

Другими словами, визуально сложный пароль может иметь очень низкую реальную стойкость.

Может ли ИИ придумать надежный пароль?

На первый взгляд кажется логичным попросить ChatGPT или другую нейросеть сгенерировать пароль.

Однако здесь есть важный нюанс.

Большие языковые модели обучаются на огромных текстовых массивах и склонны генерировать наиболее вероятные последовательности символов. Если просто попросить их "придумать надежный пароль", ответ может оказаться статистически более предсказуемым, чем пароль, созданный криптографическим генератором случайных чисел.

Поэтому специалисты рекомендуют использовать для генерации паролей встроенные генераторы менеджеров паролей или операционной системы, которые основаны на криптографически стойких источниках случайности.

ИИ ускоряет не только подбор паролей

Современные злоумышленники используют нейросети и в других направлениях.

Автоматическое создание правил

ИИ способен самостоятельно находить наиболее эффективные правила преобразования словаря:

• добавить год;

• заменить буквы;

• изменить регистр;

• переставить символы;

• добавить специальные знаки.

Подобные правила значительно сокращают время поиска.

Анализ поведения пользователя

ИИ способен оценивать привычки пользователя:

• какие сервисы он использует;

• какой язык предпочитает;

• какие слова чаще употребляет;

• какие даты для него значимы.

Это делает атаки значительно более точными.

Обход защитных механизмов

Искусственный интеллект также применяется для:

• автоматического распознавания некоторых типов CAPTCHA;

• создания дипфейков;

• клонирования голоса;

• автоматизации фишинговых атак;

• написания убедительных мошеннических писем без грамматических ошибок.

Следует отметить, что современные CAPTCHA и биометрические системы постоянно совершенствуются и включают дополнительные механизмы защиты. Поэтому ИИ не гарантирует их успешный обход, но значительно расширяет возможности злоумышленников.

Почему человек остается главным слабым звеном

Большинство пользователей считают свои пароли уникальными.

На практике оказывается, что люди удивительно похожи.

Мы любим использовать:

• собственное имя;

• дату рождения;

• любимый фильм;

• имя ребенка;

• название автомобиля;

• кличку питомца;

• времена года;

• месяцы;

• любимые команды;

• памятные даты.

Нейросеть прекрасно знает эти человеческие привычки.

Именно поэтому современные атаки направлены не против компьютеров, а против психологии человека.

Как защититься от ИИ-взлома

Поскольку искусственный интеллект использует человеческую предсказуемость, защита должна строиться на случайности, криптографии и нескольких уровнях аутентификации.

1. Используйте менеджер паролей

Человеческий мозг плохо умеет создавать действительно случайные последовательности. Менеджер паролей генерирует длинные криптографические случайные строки, например:

sQ4@L9#vN7t!X3kP2wR8

Подобные пароли не имеют осмысленных закономерностей и практически бесполезны для моделей машинного обучения. Главное условие — уникальный пароль для каждого сервиса.

2. От теории — к практике

Знать принципы — это первый шаг. Но ещё важнее использовать инструменты, которые помогают применять эти рекомендации ежедневно.

Программы для защищённого хранения и управления паролями и файлами позволяют:

Отказаться от запоминания десятков сложных паролей — достаточно помнить один мастер-пароль;

Хранить важные файлы в зашифрованном виде, недоступном даже при физическом доступе к устройству;

Соблюдать современные рекомендации по кибербезопасности без лишних усилий;

Значительно снизить риск компрометации учётных записей из-за слабых или повторно используемых паролей.

Иными словами, хороший менеджер паролей закрывает сразу несколько уязвимостей, которые ИИ активно эксплуатирует: предсказуемость, повторное использование и хранение паролей в открытом виде.

3. Включите многофакторную аутентификацию (MFA)

Даже если пароль оказался скомпрометирован, второй фактор значительно усложняет несанкционированный вход.

Наиболее надежными считаются:

• приложения-аутентификаторы (TOTP);

• аппаратные ключи безопасности (например, FIDO Security Keys).

SMS-коды обеспечивают дополнительную защиту, но уступают этим вариантам из-за риска атак на мобильную связь.

4. Делайте пароль длинным

Если по каким-либо причинам менеджер паролей не используется, длина становится одним из главных факторов защиты.

Лучше использовать длинную парольную фразу из нескольких случайных слов, чем короткий "сложный" пароль.

Например:

Бетонный-Жираф-Пьет-Чай-Космос

или аналогичные конструкции из случайно выбранных слов.

Главное условие — слова не должны быть связаны между собой логически и не должны отражать личную информацию пользователя.

5. Следите за утечками данных

Даже самый хороший пароль перестает быть безопасным после его публикации в результате утечки.

Периодически проверяйте свои адреса электронной почты в сервисах мониторинга утечек и своевременно меняйте скомпрометированные учетные данные.

6. Не используйте один пароль повторно

Повторное использование одного и того же пароля остается одной из наиболее распространенных причин компрометации аккаунтов.

Если злоумышленник получает пароль от одного сайта, он автоматически проверяет его на десятках других популярных сервисов.

Даже очень надежный пароль становится опасным, если используется повсеместно.

Что ждет нас дальше?

Развитие генеративного искусственного интеллекта только ускоряется.

В ближайшие годы можно ожидать появления моделей, которые будут еще лучше понимать человеческие привычки, эффективнее анализировать открытые источники информации и автоматизировать подготовку атак.

Однако одновременно развиваются и средства защиты:

• Passkeys постепенно заменяют традиционные пароли;

• аппаратные ключи становятся доступнее;

• развивается аутентификация на основе криптографии;

• появляются системы обнаружения аномалий, также использующие искусственный интеллект для выявления подозрительных попыток входа.

По сути, начинается новая гонка вооружений, где ИИ используется обеими сторонами — как злоумышленниками, так и защитниками.

Заключение

Искусственный интеллект не сделал взлом паролей «магическим». Он не умеет угадывать пароль без попыток и не отменяет математические ограничения криптографии. Но он радикально изменил характер атак: вместо слепого перебора появились интеллектуальные методы, основанные на анализе человеческого поведения, статистики и открытых данных.

Старые рекомендации вроде «добавьте цифру и заглавную букву» уже не обеспечивают достаточной защиты. Сегодня безопасность определяется не хитростью пользователя, а качеством используемых технологий.

Лучшей стратегией остается сочетание нескольких мер: использование уникальных случайных паролей, созданных криптографическим генератором, менеджера паролей, многофакторной аутентификации . Именно такой подход позволяет эффективно противостоять как классическим атакам, так и современным инструментам, основанным на искусственном интеллекте.