La ilusión de seguridad en contraseñas generadas por IA
Los modelos de lenguaje grandes como ChatGPT, Claude y Gemini se han convertido en asistentes cotidianos para miles de founders y equipos tecnológicos. Sin embargo, una investigación reciente de Irregular revela un problema crítico: las contraseñas que estos sistemas generan lucen complejas a simple vista, pero son altamente predecibles y vulnerables a ataques de fuerza bruta en cuestión de horas.
Este hallazgo tiene implicaciones directas para startups que desarrollan productos de autenticación, equipos que confían en IA para automatizar tareas de seguridad, y founders que buscan implementar mejores prácticas de ciberseguridad en sus operaciones.
El problema: patrones ocultos que reducen la entropía real
Cuando un modelo de lenguaje genera una contraseña, no utiliza aleatoriedad verdadera como lo hacen los generadores criptográficos especializados. En su lugar, produce combinaciones basadas en patrones aprendidos de enormes volúmenes de texto durante su entrenamiento.
Los investigadores de Irregular demostraron que estos patrones son repetitivos y estadísticamente predecibles. Aunque una contraseña como Xk9#mQ2@pL7 parece robusta, la entropía real —la medida de aleatoriedad e impredecibilidad— es significativamente menor a la esperada para una contraseña de longitud y complejidad equivalente generada por métodos criptográficos.
En términos prácticos, esto significa que un atacante equipado con conocimiento de los patrones de salida de LLMs puede reducir drásticamente el espacio de búsqueda en un ataque de fuerza bruta, comprometiendo credenciales en pocas horas en lugar de años o décadas.
¿Por qué los LLMs no son adecuados para generar contraseñas?
Los modelos de lenguaje están diseñados para predecir y generar texto coherente, no para producir datos criptográficamente seguros. Esta diferencia fundamental explica la vulnerabilidad:
- Ausencia de aleatoriedad criptográfica: Los LLMs operan con funciones deterministas optimizadas para coherencia lingüística, no para entropía máxima.
- Sesgos en los datos de entrenamiento: Si el modelo fue entrenado con ejemplos de contraseñas o estructuras similares, reproducirá esos patrones inconcientemente.
- Repetibilidad bajo condiciones similares: Con prompts parecidos, los LLMs tienden a generar salidas similares, lo que facilita la predicción.
Para founders de startups tecnológicas, este es un recordatorio crítico: la IA no es una solución universal. Herramientas especializadas existen por razones de seguridad y cumplimiento normativo.
Gestores de contraseñas profesionales: la alternativa confiable
Los expertos en ciberseguridad recomiendan consistentemente el uso de gestores de contraseñas profesionales como 1Password, Bitwarden, LastPass o Dashlane. Estas herramientas utilizan generadores criptográficos certificados que garantizan:
- Alta entropía: Aleatoriedad real basada en estándares criptográficos (CSPRNG – Cryptographically Secure Pseudo-Random Number Generator).
- Protección por diseño: Cifrado de extremo a extremo, auditorías de seguridad independientes y cumplimiento con normativas internacionales.
- Facilidad de uso: Integración con navegadores, aplicaciones móviles y sincronización segura entre dispositivos.
Para equipos de startups, implementar un gestor de contraseñas corporativo no solo mejora la seguridad, sino que también facilita la gestión de accesos, el onboarding de nuevos miembros y la respuesta ante incidentes.
Implicaciones para founders y equipos tech
Este descubrimiento debe servir como llamado de atención en varios frentes:
Desarrollo de productos
Si tu startup está construyendo soluciones de autenticación, gestión de identidades o seguridad, no dependas de LLMs para funciones críticas de seguridad. Utiliza librerías criptográficas probadas y auditadas.
Cultura de seguridad interna
Educa a tu equipo sobre las limitaciones de la IA. Aunque modelos como ChatGPT o Claude son excelentes para automatizar redacción, análisis de datos o prototipado de código, no deben usarse para generar secretos, tokens o contraseñas.
Evaluación de riesgos
Si has utilizado IA para generar contraseñas en el pasado, considera una auditoría de seguridad y la rotación inmediata de credenciales críticas. Este tipo de vulnerabilidades no son detectables por herramientas convencionales de monitoreo.
Oportunidades de mercado
Este hallazgo también abre oportunidades: startups que eduquen sobre seguridad en IA, que desarrollen herramientas de auditoría de contraseñas generadas por LLMs, o que integren criptografía robusta en productos de automatización, estarán posicionadas para capturar un mercado creciente y preocupado por estos riesgos.
Recomendaciones prácticas para founders
Basándose en esta investigación, aquí hay acciones concretas que puedes implementar hoy:
- Adopta un gestor de contraseñas profesional para tu equipo y asegúrate de que todos los miembros lo utilicen consistentemente.
- Revisa tus políticas de seguridad: establece guías claras sobre qué tareas pueden automatizarse con IA y cuáles requieren herramientas especializadas.
- Implementa autenticación multifactor (MFA) en todos los servicios críticos para mitigar el riesgo de contraseñas comprometidas.
- Educa a tu equipo: organiza sesiones de formación sobre ciberseguridad y las limitaciones de la IA en contextos de seguridad.
- Auditoría regular: programa revisiones trimestrales de credenciales, permisos y prácticas de seguridad.
Conclusión
La investigación de Irregular sobre contraseñas generadas por IA es un recordatorio oportuno de que la innovación tecnológica debe ir acompañada de criterio técnico sólido. Los modelos de lenguaje son herramientas poderosas, pero tienen límites claros en aplicaciones de seguridad crítica.
Para founders de startups tecnológicas, este hallazgo subraya la importancia de combinar la automatización con herramientas especializadas, mantener una cultura de seguridad robusta y tomar decisiones informadas sobre dónde y cómo implementar IA en sus operaciones.
La seguridad no es un área donde se deba improvisar o confiar en soluciones ‘suficientemente buenas’. En un ecosistema donde la confianza del usuario y la protección de datos son activos fundamentales, invertir en las herramientas correctas desde el inicio puede marcar la diferencia entre escalar con confianza o enfrentar crisis evitables.
¿Quieres profundizar en cómo implementar IA de forma segura en tu startup? Únete gratis a Ecosistema Startup y conecta con founders que están navegando estos mismos desafíos técnicos y de seguridad.
Fuentes
- https://www.theregister.com/2026/02/18/generating_passwords_with_llms/ (fuente original)
Artículos relacionados:
LLMs como Compiladores: Por Qué No Deberían Serlo | 2026
Vibe Coding y LLMs: La Capa de Contexto que Falta en IA
LLMs y Agentes de IA: Lecciones de FORTRAN para Founders
El problema de la receta de brownies: por qué los LLMs necesitan contexto granular
Hardware hacking: extracción de contraseñas vía SPI flash
