Pourquoi générer son mot de passe avec l’IA est une très mauvaise idée
Générer un mot de passe avec un modèle de langage semble intuitif, on lui demande une chaîne aléatoire complexe, il en produit une. Mais derrière cette apparente simplicité se cache un problème fondamental : les LLMs ne sont pas conçus pour produire du hasard. Ils génèrent des tokens en fonction de probabilités apprises, et ce biais statistique transforme des mots de passe « aléatoires » en cibles prévisibles.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de Numerama. Lire l'article original →
L'enjeu dépasse le cas individuel. Si des millions d'utilisateurs délèguent la création de leurs identifiants à des assistants IA comme ChatGPT, Claude ou Gemini, les mots de passe produits partagent structurellement les mêmes patterns, même longueur, mêmes caractères favoris, mêmes positions de chiffres ou de majuscules. Un attaquant qui modélise le comportement d'un LLM peut construire des dictionnaires d'attaque ciblés, réduisant drastiquement l'espace de recherche par force brute.
Les modèles de langage fonctionnent par inférence probabiliste : chaque caractère est choisi en maximisant la vraisemblance selon les données d'entraînement. Ils reproduisent donc des schémas présents dans les mots de passe humains qu'ils ont vus, à rebours de ce qu'exige la cryptographie. Un vrai générateur de mots de passe s'appuie sur une source d'entropie cryptographique, /dev/urandom sous Linux, CryptGenRandom sous Windows, garantissant une distribution uniforme que les LLMs sont structurellement incapables de reproduire.
Les experts en sécurité recommandent sans ambiguïté d'utiliser un gestionnaire de mots de passe dédié (Bitwarden, KeePassXC, 1Password) dont les générateurs sont bâtis sur des primitives cryptographiques éprouvées. L'IA reste un outil puissant pour de nombreuses tâches, mais la génération de secrets cryptographiques n'en fait pas partie.
Les utilisateurs européens qui génèrent des mots de passe via des LLMs s'exposent à une surface d'attaque systémique exploitable à grande échelle.