Une étude récente menée par Irregular en février 2026 met en lumière les risques liés à l'utilisation de mots de passe générés par intelligence artificielle. Les résultats de cette étude dévoilent que les mots de passe créés par des modèles de langage ne sont pas suffisamment aléatoires, car ils manquent d'entropie, essentielle pour garantir la sécurité.
Ce qu'il faut retenir
- Les mots de passe générés par IA présentent des motifs récurrents et une prévisibilité structurelle
- Les attaquants peuvent exploiter cette standardisation pour forger des listes de mots de passe
- L'utilisation d'un gestionnaire de mots de passe sécurisé est recommandée pour renforcer la sécurité
Le manque d'entropie des mots de passe générés par IA
Les mots de passe produits par les systèmes d'IA généralistes introduisent une nouvelle faille de sécurité. En effet, ces mots de passe sont caractérisés par des motifs prévisibles et une entropie insuffisante, rendant leur imprévisibilité compromise. Cette problématique est accentuée par le fait que les modèles de langage ne visent pas à maximiser l'imprévisibilité, mais à produire des séquences plausibles basées sur ce qu'ils ont appris.
Des tests révélateurs
Les tests effectués sur des modèles tels que GPT, Claude et Gemini ont mis en évidence la récurrence de motifs et de doublons dans les mots de passe générés. Sur 50 générations, des schémas se sont dégagés, avec des débuts de mots de passe souvent identiques. Cette standardisation rend ces mots de passe vulnérables à des attaques à grande échelle, les attaquants pouvant exploiter ces prévisibilités pour constituer des listes de mots de passe potentiellement compromettantes.
Les implications pour la sécurité des données
Le risque dépasse la simple faiblesse individuelle des mots de passe générés par IA. En effet, si un grand nombre d'utilisateurs se reposent sur les mêmes modèles publics, cela conduit à une standardisation prévisible, offrant ainsi un terrain propice aux attaques massives. De plus, dans un contexte où des agents d'IA sont utilisés pour générer des mots de passe dans des environnements de développement, des failles potentielles peuvent se retrouver à protéger des bases de données entières, avec des conséquences potentiellement désastreuses.
