「AIに複雑なパスワードを作ってもらえば安全」と思っていませんか。大文字や数字、記号が並ぶと頼もしく見えますが、同じ文字列を何度も生成した実験が報告されています。
結論からいうと、会話AIが文章として直接考えたパスワードを、そのまま採用するのは避けたい使い方です。大事なのは文字の見た目だけでなく、推測されにくい方法で作られたかどうかです。
50回頼んだのに、同じパスワードが18回
AIセキュリティ企業Irregularが2026年2月18日に公表した生成AIによるパスワード生成実験結果は衝撃的です。
例えば、Claude Opus 4.6に依頼したところ、50回の依頼中で同一パスワードが18回も出力されたのです。
ChatGPTの場合はほぼすべてのパスワードが「v」で始まり、その半数近くは続いて「Q」が来ました。
Geminiでも著しい偏りが見られることが報告されています。
| LLM | 見られた特徴 |
|---|---|
| Claude | ・多くのパスワードが英字（主に大文字の「G」）で始まり、高確率で数字の「7」が続く。 ・特定の文字（L, 9, m, 2, $, #など）ばかりが選ばれ、アルファベットの大半が一度も使われない。 ・同一文字の連続を意図的に避ける不自然な傾向がある。 ・50回の試行で同一パスワードが18回（36%）重複出力される事象も確認。 |
| Chat GPT | ・ほぼすべてのパスワードが「v」で始まり、その半数近くが「Q」と続く。使用される記号や文字のバリエーションが極端に狭い。 |
| Gemini | ・半数近くが「K」または「k」から始まり、次いで「#」「P」「9」などが続く強い偏りが見られる。 |
記号も入っているのに、なぜ安全とはいえない？
ここで疑問になるのが、「長くて複雑なら、十分では？」ということです。
例えば、とても複雑な形の鍵があったとします。形だけを見れば頼もしくても、その合鍵が大量に出回っていれば安心できません。
パスワードも、文字の種類や長さだけでは判断できません。攻撃者が「この作り方なら、この候補が出やすい」と知っていれば、あらゆる文字の組み合わせを端から試すより、候補を絞れる可能性があります。
前の記事では、私が7つのAIサービスに数字を聞くと、回答が37、42、73の3種類に集まりました。もちろん、その小さな試行だけでパスワードの危険性は証明できません。
ただ、「毎回考えているように見えても、答えが均等に分散するとは限らない」という疑問は共通しています。
「難しそうに見える」と「推測されにくい」は、同じではないのです。
なお、候補が絞れることと、すぐにアカウントへ侵入できることも別です。ログイン試行の制限や多要素認証などで状況は変わるため、「AIが作ったら即座に乗っ取られる」とまで受け取る必要はありません。
それでもリスクが高まることは確かです。だって鍵の作り方の特徴がばれているんですから。
「絶対にランダムに作って」と頼めばよいのでは？
それなら、「ほかの人と重複しないように」「完全にランダムに」と念押したくなります。
しかし、AIがそう説明したことと、暗号学的に安全な生成方法を使ったことは別です。会話の文章として直接文字列を生成する限り、指示を工夫しただけで安全性を確認したことにはなりません。
一方、AIが安全な生成ツールを実際に呼び出す場合は、区別が必要です。
例えばPythonには、パスワードや認証トークンなどの秘密情報向けに、暗号学的に強い乱数を生成する「secrets」モジュールがあります。
公式文書でも、モデリングやシミュレーション向けの「random」よりも、セキュリティ目的では「secrets」を使うよう案内しています。単に「プログラムで作った」だけでなく、何を使ったかが重要なのです。
ただ、一般の利用者が毎回その実行内容を確認するのは手間です。日常のパスワードは、専用のパスワード管理アプリで生成し、そのまま保存する方法がわかりやすいでしょう。生成した秘密をチャットへ転記する必要も減らせます。
安全に作って、忘れずに使うにはどうする？
まず使いたいのは、端末・ブラウザのパスワード管理機能や、実績のある専用のパスワード管理アプリです。保存だけでなく、生成する機能も利用します。
英国の国家サイバーセキュリティセンター（NCSC）も、パスワード管理機能で強く、サービスごとに異なるパスワードを生成・管理することを勧めています。
基本は「サービスごとに別々に作り、管理機能に覚えてもらう」ことです。管理用のアカウントにも多要素認証を設定し、復旧方法を確認しておきましょう。自動生成しても、同じものを複数サイトで使い回せば、別のリスクが残ります。
パスワードの代わりにパスキーを使う選択肢もあります。
すでにAIが直接考えたパスワードを使っているなら、早めに見直しましょう。
まずメールやパスワード管理用アカウントなど、ほかのアカウントへの入り口になるものから優先して見直してください。
- サービスの公式サイトや公式アプリで、パスワード変更画面を開く。
- パスワード管理機能で新しいものを生成し、変更後の情報を保存する。
- 同じパスワードを使い回していたサービスも個別に変更し、多要素認証を有効にする。
AIには安全な設定方法や管理機能の使い方を聞く。そのうえで、実際の秘密は適切な機能で作り、保存する。この使い分けなら、AIの便利さを生かせます。
数字を選ぶ場面では、答えの偏りも面白い発見でした。けれど、アカウントを守る秘密を作る場面では、その偏りを持ち込まない工夫が必要です。「複雑そうだから大丈夫」と判断する前に、どこで、どう作ったものかを見直してみてください。
パスワードの流出確認やパスキーの設定まで見直したい方は、「AI時代のセキュリティ対策」も参考にしてください。
コメント