投稿者 global-ai-media 
業務効率化のために導入が進む生成AIですが、セキュリティ領域、特に「パスワード生成」における活用には重大な落とし穴があります。大規模言語モデル（LLM）の仕組みそのものが、なぜ安全なパスワード作成に向かないのか。最新の研究結果を端緒に、日本企業が押さえるべきAI活用の境界線とガバナンスについて解説します。
なぜLLMは「推測されやすい」パスワードを作ってしまうのか
生成AI（LLM）の導入が進む中、従業員が「複雑なパスワードを考えるのが面倒だから」という理由で、ChatGPTなどのAIにパスワード案を作らせようとするケースが散見されます。しかし、セキュリティの専門家や最新の研究が警鐘を鳴らす通り、これは極めて危険な行為です。
根本的な理由は、LLMの動作原理にあります。LLMは大量のテキストデータから学習し、「次に来る確率が最も高い言葉（トークン）」を予測して文章を生成します。一方で、強力なパスワードに求められるのは「ランダム性（エントロピー）」であり、予測不可能性です。「確率的にありそうな並び」を出力するAIと、「予測不可能な並び」を必要とするパスワード生成は、そもそも水と油の関係にあります。
実際、AIにパスワード生成を依頼すると、学習データに含まれる一般的なパターン（例：「Password123!」のような構造や、よくある単語の組み合わせ）を提示する傾向があります。攻撃者もまたAIを活用して解析を行う現代において、AIが生成した「統計的にありふれた」パスワードは、総当たり攻撃や辞書攻撃に対して脆弱性を露呈することになります。
プロンプト履歴と学習データのリスク
生成されたパスワードの強度の問題に加え、情報の取り扱いに関するリスクも無視できません。クラウドベースの生成AIサービスを利用する場合、入力したプロンプトや出力された回答は、デフォルト設定ではサーバー上のログに残ったり、将来のモデル学習に利用されたりする可能性があります。
もし従業員が「私の社内システム用の安全なパスワードを作って」と入力し、出力された文字列をそのまま使用した場合、そのパスワードは実質的に第三者（AIベンダー）のデータベースに平文に近い形で保存されていることになります。これは、セキュリティの基本原則である「秘密の保持」に反する行為です。
日本企業においては、機密情報の入力禁止についてはガイドラインで定めているケースが増えていますが、「パスワード作成の代行」という具体的なユースケースまで想定して注意喚起できている組織はまだ多くありません。
「餅は餅屋」：適材適所のツール選定
この問題は、AIの限界を理解する上で良い教訓となります。生成AIは自然言語の処理やアイデア出し、要約には卓越した能力を発揮しますが、厳密な論理演算や真のランダム生成には不向きです。
パスワード生成には、OSやパスワード管理ツールに組み込まれている「暗号論的疑似乱数生成器（CSPRNG）」を使用すべきです。これらは数学的に予測困難な乱数を生成するように設計されており、言語モデルの「それらしい出力」とは根本的に異なります。
DXやAI活用を推進する立場としては、現場に対して「AIは何でもできる魔法の杖ではない」ということを啓蒙し、タスクに応じた適切なツールの使い分けを促す必要があります。
日本企業のAI活用への示唆
今回の事例から、日本企業のAIガバナンスおよび実務担当者が得るべき示唆は以下の通りです。
- ガイドラインの具体化：社内のAI利用ガイドラインにおいて、機密情報の入力禁止だけでなく、「パスワードや暗号鍵の生成にAIを使用しないこと」を明記し、その理由（予測可能性とログ保存のリスク）を周知する必要があります。
- ツールの使い分け教育：従業員に対し、言語モデルが得意な領域（文章作成、翻訳）と、苦手な領域（計算、乱数生成、事実の正確性保証）を教育し、盲目的なAI依存を防ぐことが重要です。
- 既存セキュリティ習慣の見直し：もし現場でAIにパスワードを考えさせるニーズがあるならば、それは「パスワード管理が負担になっている」というサインかもしれません。AIで解決するのではなく、SSO（シングルサインオン）の導入や信頼できるパスワードマネージャーの全社導入など、セキュリティインフラ側での根本解決が求められます。