近年、生成AIを活用して業務効率化を図る企業や個人が増加しています。「面倒なパスワード作成もAIにお願いしてしまおう」と考える方もいるかもしれませんが、セキュリティの観点からはリスクが伴うため注意が必要です。

本記事では、ZDNET Japanや Malwarebytes が公開した記事をもとに、AIによるパスワード生成に潜むリスクやパスワード生成ツールとの違い、さらにアカウントを保護するためにパスワードと併用した「多要素認証（MFA）」の仕組みも簡単に解説します。

＜この記事を読んで分かること＞

AIにパスワードを作らせることは一見効率的に思えますが、そうとも言い切れないことをセキュリティ専門機関が示唆しています。

セキュリティ企業 Malwarebytes の報告によると、複数のAI（ChatGPT、Claude、Gemini など）にパスワードを生成させる検証を行った結果、作成された文字列には明確なパターンが存在し、真の意味でのランダムではないことが判明しています。

一見すると英数記号が混ざった複雑で安全そうな文字列に見えても、AIの出力には同様の構造やパターンの文字列が繰り返されやすいという特徴があるようです。

サイバー攻撃の代表的な手法の一つに、「パスワードリスト攻撃」というものがあります。よく使われる単語やパターンのリストを用いて、自動的にパスワードの解読を試みる攻撃です。

前述の Malwarebytes の報告の通り、AIが生成するパスワードはパターン化されやすいとされています。そうなると、攻撃者がその傾向を学習することは難しくないでしょう。AI由来のパスワードのパターンを探ることさえも自動化されてしまったら、パスワードリスト攻撃の標的にされやすくなることが予想されます。

パスワードを決める際、よく利用されるのが専用の「パスワード生成ツール」です。パスワード生成ツールは、Trend Micro や 1Password、McAfee など、セキュリティ関連の企業がWebサイトとして無料公開しています。

ここでは、AIによるパスワード生成と、専用のパスワード生成ツールにどういった違いがあるのかを解説します。

AIの基盤である大規模言語モデル（LLM）は、膨大な学習データをもとに「次に続く確率が最も高い単語（トークン）」を予測して文章を生成する仕組みを持っています。

この「パターンを見つけて規則性に基づいて予測する」というLLMの本質的な仕組み自体が、安全なパスワードに求められる予測不可能なランダム性と本質的に相反しています。

一方、専用のパスワード生成ツールは、既存のデータからテキストを予測して生成しているわけではありません。

ZDNET Japanの記事でも解説されている通り、優れたパスワード生成ツールは「暗号論的擬似乱数生成器（CSPRNG：Cryptographically Secure Pseudo-Random Number Generator）」というアルゴリズムを採用しています。

CSPRNGを用いることで、人やAIの癖、特定のパターンを完全に排除し、攻撃者が予測しづらいランダム文字列の生成が期待できます。

AIでパスワードを生成する際、プロンプトや生成結果のやり取りが必ずAI事業者のクラウドサーバーへ送信されます。もちろん暗号化などの対策はされていますが、入力データがAIの学習に利用されることもあります。

一方で、パスワード生成ツールの多くはユーザーのブラウザー上で完結します。つまり、パスワード生成の作業や結果がどこかのサーバーに送信されることはないということです。

強力なパスワードを設定することは重要ですが、それだけで万全とは言えません。近年は、さまざまなサービスやツールで「多要素認証（MFA）」の利用が求められています。

多要素認証（MFA：Multi-Factor Authentication）とは、アカウントへログインする際に、独立した2つ以上の要素を組み合わせて本人確認を行う仕組みです。

認証の要素は大きく以下の3つに分類されます。

この3つのうち、異なる2つ以上の要素を組み合わせて認証を行うのが多要素認証です。最近は「パスワード（知識情報）＋認証アプリのワンタイムパスコード（所持情報）」という組み合わせが一般的です。

パスワードが漏えいしたり、AI由来のパターンを突かれて解読されたりしても、多要素認証が有効になっていれば、攻撃者は2つ目、3つ目の要素（本人のスマートフォンや指紋など）を突破できません。これにより、不正アクセスを大幅に抑え込むことができます。

利用しているサービス・ツールのアカウントを安全に保つための、パスワード管理のポイントをまとめます。

自力で複雑なパスワードを作成し、すべてを記憶するのは誰にとっても難しいです。

パスワード生成ツールで文字列を作成し、Google パスワード マネージャーなどのパスワード管理ツールに保存することで、便利かつ安全にパスワードを管理できます。

多要素認証を設定する際は、SMS認証よりも、Google Authenticator や Microsoft Authenticator などの認証アプリを利用することをおすすめします。

SMS認証はSIMスワップなどの攻撃リスクが指摘されているため注意が必要です。とはいえ、パスワードのみの認証より安全なことは間違いありません。

企業の場合は、IDaaS（Identity as a Service）を導入するなどの方法もあります。IDaaSとは、複数のシステムやツールのID・パスワードを組織的に一元管理できるサービスです。一度のログインで複数のシステム・ツールへアクセスできるシングルサインオン（SSO）に、多要素認証（MFA）を組み合わせることが可能です。

AIは業務効率化に極めて有効なツールですが、仕組み上現代のサイバー攻撃に耐えうる「完全なランダム文字列」を作るのには適していません。

アカウントの安全性を確保し、サイバー攻撃から組織や個人のデータを守るためには、以下の原則を徹底することが重要です。

「情シスマン」を運営するUSEN ICT Solutionsは、CSPRNGに対応した「パスワード生成ツール」を無料で公開しています。入力・出力された情報はサーバー送信しないことを利用規約で明記しているため、安心してご利用いただけます。