- Les mots de passe restent essentiels, mais l'IA a décuplé la capacité à les deviner grâce aux attaques par dictionnaire, à la force brute et aux modèles génératifs.
- Les LLM ne produisent pas un véritable aléa : leurs modèles font que les mots de passe qu’ils génèrent ont une faible entropie et sont étonnamment faciles à casser.
- La protection passe par l'utilisation de gestionnaires de mots de passe, de mots de passe longs et uniques, d'une authentification multifacteurs et d'une surveillance continue basée sur l'IA.
- L'avenir s'oriente vers des modèles sans mot de passe, des clés d'accès et le modèle Zero Trust, où l'identité et le contexte comptent plus qu'un simple secret partagé.
Les mots de passe sont mis à rude épreuve par la révolution de l'intelligence artificielle . Ils demeurent le système d'authentification le plus répandu au monde, mais chaque progrès en IA, en cyberattaques et en automatisation accentue la pression sur un modèle hérité d'une autre époque. Pendant ce temps, des millions d'utilisateurs continuent de protéger leurs comptes de messagerie, bancaires et de réseaux sociaux avec des mots de passe qu'un pirate informatique moderne peut déchiffrer en quelques secondes.
Parallèlement, tous les comptes ne sont pas encore prêts à passer à un monde sans mot de passe . Certes, les clés d'accès, l'authentification biométrique et les modèles Zero Trust progressent, mais ils coexistent avec les formulaires de connexion classiques et les services existants qui reposent encore sur ce « quelque chose que vous connaissez ». Dans ce contexte, comprendre pourquoi les mots de passe sont plus importants que jamais, comment l'IA les remet en question et quelles sont les alternatives concrètes à notre disposition n'est plus une question technique : c'est une question de survie numérique fondamentale.
Pourquoi les mots de passe restent essentiels à l'ère de l'IA
Aujourd'hui, les données personnelles et professionnelles sont devenues une véritable mine d'or . Un simple mot de passe divulgué peut se vendre quelques euros sur des forums clandestins, mais s'il donne accès à une messagerie professionnelle, à un système de fichiers interne ou à un compte bancaire, les conséquences financières peuvent atteindre des centaines de milliers d'euros.
Des services aussi divers que les services bancaires en ligne, la messagerie électronique, les dossiers médicaux, les réseaux sociaux et les outils de travail en nuage reposent encore sur les mots de passe comme principal moyen d'accès. Se connecter avec « password123 » ou une autre variante douteuse revient à laisser sa porte d'entrée ouverte avec un panneau « Entrez sans frapper ».
Des études montrent qu'environ la moitié des applications reposent uniquement sur des mots de passe , sans aucune autre mesure de sécurité. De plus, seule une minorité d'utilisateurs utilise des mots de passe différents pour chaque service. Ce constat contraste fortement avec la réalité : la plupart des gens gèrent entre 70 et 100 comptes en ligne, alors qu'ils ne peuvent, au mieux, se souvenir que de 5 à 7 mots de passe différents.
Ce décalage entre notre capacité de mémorisation et le nombre de comptes que nous utilisons quotidiennement engendre des habitudes dangereuses : réutiliser ses mots de passe, les noter dans des notes non chiffrées ou les partager via des canaux non sécurisés . Même si vous ne le faites probablement pas, nombreuses sont les personnes qui conservent leurs mots de passe dans une application de notes ou sur un bout de papier collé à leur écran, ce qui facilite grandement la tâche de tout pirate informatique un tant soit peu organisé.
L'IA ajoute une nouvelle dimension à la complexité : les attaques par force brute , par dictionnaire et par bourrage d'identifiants peuvent désormais être automatisées et optimisées à l'échelle industrielle . Ce qui exigeait auparavant du temps, des efforts et une certaine expertise technique peut maintenant être orchestré grâce à des outils avancés qui testent des millions de combinaisons issues de fuites de données réelles.
Longueur, complexité et entropie : qu’est-ce qui fait d’un mot de passe un outil vraiment puissant ?
L'un des mythes les plus répandus est qu'un mot de passe « qui paraît compliqué » est automatiquement sécurisé . Ajouter des majuscules, remplacer des lettres par des chiffres ou inclure un symbole donne une certaine impression de robustesse, mais face aux méthodes d'attaque modernes, le facteur décisif est ailleurs : la longueur.
Lorsqu'un attaquant accède à une base de données d'identifiants divulguée d'une grande entreprise, les mots de passe y sont généralement stockés non pas en clair, mais sous forme de hachages chiffrés . Pour tenter de retrouver le mot de passe original, il utilise des techniques de craquage : il génère des hypothèses de mots de passe, les chiffre de la même manière, et compare les résultats jusqu'à trouver une correspondance.
Dans ce cas de figure, plus le mot de passe est long, plus le nombre de combinaisons possibles augmente de façon exponentielle . Un mot de passe de 8 caractères peut être déchiffré en quelques secondes ou minutes sur un cluster de GPU ou dans un environnement de cloud computing, même s'il alterne lettres, chiffres et symboles. À l'inverse, un mot de passe de 16 caractères bien conçu peut nécessiter des années, voire des siècles, ou s'avérer tout simplement impossible à déchiffrer avec les ressources actuelles.
Si l'on considère également les futurs ordinateurs quantiques, la longueur reste un facteur déterminant : une chaîne absurde comme 40 fois la même lettre serait pratiquement impossible à déchiffrer, même avec les capacités quantiques théoriques, tandis qu'un mot de passe court et « créatif » basé sur votre équipe de football ou une chanson célèbre pourrait être deviné en un clin d'œil.
D'un point de vue plus formel, la sécurité d'un mot de passe se mesure en bits d'entropie , qui reflète le nombre moyen de tentatives nécessaires pour le deviner. Plus l'ensemble des caractères utilisés est large (lettres majuscules, minuscules, chiffres, symboles) et plus la combinaison est longue, plus l'entropie est élevée et plus il est difficile de le casser par force brute.
Un mot de passe avec environ 20 bits d'entropie génère approximativement un million de combinaisons possibles, qu'un attaquant équipé de GPU modernes peut casser en quelques secondes . À l'inverse, un mot de passe avec environ 100 bits d'entropie impliquerait tellement de combinaisons qu'en pratique, son déchiffrement prendrait des milliards d'années. La différence entre les deux n'a rien de magique : elle réside dans la longueur réelle et la variété effective des caractères, et non dans une simple apparence de complexité.
La grosse erreur : confier la sécurité aux mots de passe générés par l’IA.
Avec l'essor des chatbots, la tentation est grande de demander à un modèle comme ChatGPT, Claude ou Gemini de « générer un mot de passe sécurisé de 16 caractères avec des chiffres, des symboles et des lettres ». Sur le papier, cela semble parfait : le modèle renvoie des chaînes complexes, difficiles à lire et impossibles à mémoriser d'un coup d'œil, très similaires à celles proposées par les gestionnaires de mots de passe.
Le problème, c'est que, techniquement, les modèles de langage ne sont pas conçus pour produire une véritable aléatorité . Ils fonctionnent en prédisant le prochain segment de texte (jeton) le plus probable à partir des données sur lesquelles ils ont été entraînés. C'est exactement l'inverse de ce dont nous avons besoin pour un mot de passe fort, qui exige des choix à la fois probables et imprévisibles.
Des recherches récentes menées par des spécialistes de la sécurité de l'IA ont montré que lorsque ces modèles étaient invités à générer des dizaines de mots de passe « uniques », des schémas très clairs et répétitifs se dégageaient . Lors de tests avec Claude, de nombreux mots de passe commençaient par la même lettre, et le deuxième caractère était presque toujours le même chiffre ; de plus, une infime partie de l'alphabet était réutilisée, la plupart des lettres étant omises.
Un phénomène similaire s'est produit avec ChatGPT : presque tous les mots de passe commençaient par la même lettre, et près de la moitié utilisaient « Q » comme deuxième caractère . Gemini a également révélé des schémas récurrents, avec des combinaisons qui semblaient aléatoires mais qui, analysées statistiquement, étaient loin d'une distribution uniforme.
Le plus frappant est que nombre de ces mots de passe générés ne présentaient aucune répétition de caractères . Visuellement, cela donne une impression d'ordre chaotique, mais d'un point de vue probabiliste, il est extrêmement improbable que les décisions soient réellement prises de manière aléatoire. C'est un indice clair que le modèle suit des « règles internes » qui le rendent bien plus prévisible qu'il n'y paraît.
Lorsque l'entropie de ces mots de passe créés par LLM a été mesurée, les résultats ont été catastrophiques : comparés aux quelque 6,13 bits d'entropie par caractère qu'un générateur véritablement aléatoire produirait , les modèles n'ont atteint qu'environ 2,08 bits par caractère. Pour un mot de passe de 16 caractères, cela signifie passer d'environ 98 bits (très robuste) à seulement 27 bits, une valeur qu'un attaquant peut facilement casser par force brute.
Enfin, les chercheurs ont identifié des schémas caractéristiques dans les mots de passe générés par l'IA sur des services Internet réels . Autrement dit, certaines applications et certains sites web, déjà protégés par des mots de passe aux structures prévisibles, sont des cibles idéales pour les attaques par dictionnaire spécialisées, notamment celles utilisant des listes de mots de passe typiques de chatbots.
C’est pourquoi de nombreuses entreprises de sécurité sont formelles : il est déconseillé de confier la création de mots de passe à une IA généraliste . Ces systèmes sont optimisés pour produire des textes plausibles, et non pour garantir une distribution aléatoire inviolable. Si vous avez déjà généré des mots de passe avec un chatbot, il est recommandé de les modifier et, au minimum, d’ajouter une authentification à deux facteurs (2FA) pour renforcer la sécurité.
Gestionnaires de mots de passe, véritable aléatorisme et bonnes pratiques de base
S'il est impossible (et c'est le cas) de mémoriser des dizaines de mots de passe uniques, longs et complexes, la solution pratique consiste à centraliser leur gestion . C'est là qu'interviennent les gestionnaires de mots de passe : ils créent et stockent des mots de passe robustes dans un coffre-fort numérique chiffré, protégé par un mot de passe principal et, de plus en plus souvent, par des facteurs d'authentification supplémentaires.
Contrairement aux LLM, les gestionnaires de mots de passe utilisent des générateurs de nombres aléatoires cryptographiques . Ceux-ci s'appuient sur l'entropie du système d'exploitation et sur des sources physiques (mouvements de la souris, intervalles de temps entre les événements, etc.) pour produire des bits véritablement imprévisibles, qui sont ensuite convertis en chaînes de caractères sans introduire de motifs « jolis » à l'œil nu.
Des outils comme Bitwarden, qui propose une version gratuite assez complète, ou 1Password, un service payant mais très performant , permettent de gérer non seulement les mots de passe, mais aussi les numéros de carte bancaire, les notes sécurisées et autres informations sensibles. L'utilisateur n'a qu'à se souvenir d'un mot de passe principal très complexe (et, idéalement, à protéger son compte par une authentification à deux facteurs), le gestionnaire se chargeant du reste.
Outre la génération de mots de passe robustes, ces gestionnaires proposent généralement des fonctionnalités telles que la rotation régulière des identifiants, des alertes en cas de fuites de données connues et la vérification de la réutilisation des mots de passe . Si un site web est victime d'une faille de sécurité ou si vos données apparaissent sur des listes du dark web, le gestionnaire peut vous alerter afin que vous puissiez modifier les mots de passe concernés avant qu'ils ne soient exploités.
Une autre bonne habitude consiste à supprimer les comptes que vous n'utilisez plus . Il est facile d'oublier un ancien profil Myspace, un compte Hotmail du début des années 2000 ou un service auquel vous vous êtes inscrit « juste pour essayer ». Cependant, si vous avez déjà utilisé cette adresse e-mail comme adresse de récupération pour un autre compte important, elle devient un maillon faible de votre sécurité.
Enfin, activer l'authentification multifacteurs sur tous les comptes possibles est quasiment indispensable . Que vous utilisiez les SMS, des applications comme Authy ou Google Authenticator, ou des méthodes plus avancées, exiger un deuxième facteur (code, clé physique, biométrie) réduit considérablement les conséquences d'un mot de passe compromis.
Comment l'IA renforce les capacités des attaquants et des défenseurs
L'intelligence artificielle change la donne pour les deux camps. D'une part, les cybercriminels ne s'appuient plus uniquement sur la force brute classique : ils entraînent des modèles avec des millions de mots de passe divulgués afin de générer des dictionnaires extrêmement efficaces, capables de capturer les schémas humains lors de la création de mots de passe (noms, dates, équipes, paroles de chansons, etc.).
Des outils comme PassGAN, basés sur des réseaux génératifs, peuvent générer un grand nombre de tentatives de mots de passe sans nécessiter de règles explicites définies par l'humain . Contrairement aux utilitaires traditionnels comme Hashcat, qui appliquent des transformations prédéfinies à des listes connues, ces modèles continuent d'apprendre et d'affiner leurs résultats au fur et à mesure qu'ils génèrent de nouvelles tentatives.
Lors de tests effectués avec des ensembles de données tels que la fameuse fuite de mots de passe RockYou ou LinkedIn, PassGAN a correctement deviné entre 51 % et 73 % de mots de passe uniques de plus que les outils basés sur des règles . Entraîné spécifiquement sur des échantillons provenant d'une fuite particulière, il a pu deviner correctement près d'un quart des mots de passe d'un autre ensemble indépendant – une statistique particulièrement inquiétante compte tenu du fait que les utilisateurs réutilisent leurs mots de passe sur différents services.
De plus, les techniques d'attaque telles que le bourrage d'identifiants et la pulvérisation de mots de passe bénéficient grandement de l'automatisation avancée . Grâce à l'IA, les attaquants peuvent ajuster l'ordre et la priorité des mots de passe testés, optimisant ainsi leurs ressources et se concentrant sur les combinaisons ayant une plus grande probabilité de succès en fonction du profil de la victime.
Mais l'IA amplifie aussi les dégâts dans une autre dimension : le phishing et l'ingénierie sociale . Les modèles génératifs permettent de créer des courriels, de faux sites de connexion et même des appels vocaux utilisant des deepfakes qui imitent des membres de la famille, des supérieurs ou des collègues avec un réalisme troublant. Dans ces situations, aussi robuste soit votre mot de passe, il ne sert à rien si vous le saisissez sur une fausse page qui l'envoie directement au pirate.
En matière de sécurité défensive, l'IA est devenue une alliée indispensable . De nombreux systèmes utilisent des modèles pour analyser les habitudes de connexion et détecter les comportements anormaux : accès depuis des pays inhabituels, heures suspectes, vitesses de frappe incompatibles avec celles d'un humain ou utilisation d'appareils atypiques.
Si, par exemple, une tentative d'accès est détectée depuis un lieu inhabituel, associée à un mode d'interaction apparemment automatisé , le système peut bloquer la tentative, exiger une vérification supplémentaire ou imposer un changement de mot de passe. La clé réside dans une surveillance continue : verrouiller la porte ne suffit pas ; il faut surveiller qui tente d'entrer et comment.
Au-delà du mot de passe : authentification multifacteur, biométrie, Zero Trust et clés d’accès
Face à la recrudescence des attaques et à la prolifération des identités numériques (humaines et non humaines), le modèle classique fondé uniquement sur les identifiants et mots de passe s'avère insuffisant . La tendance actuelle est de faire reposer la sécurité non plus sur un secret unique, mais sur une combinaison de signaux, de contexte et de vérification continue.
L’authentification multifacteurs (AMF) est devenue une solution incontournable . Cependant , tous les facteurs d’authentification ne se valent pas : les codes à usage unique envoyés par SMS, par exemple, sont vulnérables aux interceptions, au clonage de cartes SIM et aux techniques d’hameçonnage sophistiquées. Malgré tout, ils restent préférables à l’absence de protection, et l’étape suivante consiste à investir dans des méthodes plus robustes, telles que les applications dédiées, les clés de sécurité ou les notifications push avec protection contre la fraude.
Les technologies biométriques, comme la reconnaissance faciale ou la lecture d'empreintes digitales sur les téléphones mobiles et les ordinateurs portables modernes , offrent une expérience utilisateur très pratique et compliquent la tâche des pirates, même si elles ne sont pas infaillibles. Associées à des clés cryptographiques stockées sur l'appareil, elles permettent de créer des systèmes sans mot de passe, réduisant ainsi le risque d'hameçonnage.
C’est là qu’interviennent les clés d’accès et les solutions sans mot de passe , qui utilisent la cryptographie à clé publique pour authentifier l’utilisateur sans nécessiter de clé traditionnelle. Des services comme Okta FastPass permettent de lier un appareil à une identité en toute sécurité et de valider l’accès à l’aide de clés cryptographiques, tout en s’intégrant à des méthodes telles que Windows Hello, Apple Touch ID ou Face ID.
Ce type de solution améliore non seulement l'expérience utilisateur (fini les dizaines de mots de passe à mémoriser), mais réduit aussi considérablement le risque de vol d'identifiants réutilisables par un attaquant . Aucun « secret partagé » ne circule sur le réseau et ne peut être intercepté : la vérification s'effectue par des défis cryptographiques que seul l'appareil légitime peut résoudre.
Parallèlement, de nombreuses organisations adoptent l' approche Zero Trust, qui considère qu'aucun accès n'est fiable par défaut , même s'il provient du réseau de l'entreprise. Chaque requête est évaluée en tenant compte de multiples facteurs : l'identité de l'utilisateur, l'appareil utilisé, sa localisation, l'heure d'accès, son comportement récent, etc.
Dans ce modèle, la gestion des identités et des accès (IAM/IGA) devient l'élément central du contrôle de sécurité . Les principes du moindre privilège, les revues périodiques des autorisations et la corrélation en temps réel des signaux de risque sont appliqués. En cas d'anomalie, le système peut révoquer instantanément les privilèges ou exiger une vérification supplémentaire.
Le nouveau front : identités des agents IA et comptes non humains
L'émergence de l'IA avec des agents autonomes ajoute une nouvelle dimension à la complexité. Ces agents ne se contentent pas d'interroger les systèmes, ils agissent également en leur sein : ils s'authentifient, appellent des API, lisent et écrivent des données, et prennent même des décisions opérationnelles pour le compte de l'entreprise.
Chaque agent de ce type nécessite sa propre identité ou, à minima, un ensemble d'identifiants . Cela accroît considérablement la surface d'attaque, car il s'agit de clés API, de jetons OAuth, de comptes de service et d'autres secrets souvent mal inventoriés, dotés de permissions excessives ou expirant tardivement (voire jamais).
De plus, les systèmes à base d'agents introduisent des vulnérabilités nouvelles et spécifiques : injection de commandes dans les instructions reçues, empoisonnement du modèle, manipulation des données, élévation de privilèges non désirée, etc. Ce n'est pas seulement le code traditionnel qui est attaqué, mais aussi la logique de prise de décision de l'IA.
L’« intelligence artificielle parallèle » aggrave la situation : les employés qui intègrent des outils d’IA non autorisés à leurs processus de travail peuvent créer des vulnérabilités que les contrôles traditionnels (pare-feu, antivirus, politiques de sécurité existantes) ne sont pas conçus pour contrer. Un agent mal configuré pourrait, par exemple, révoquer des identifiants légitimes ou mettre en quarantaine des ressources critiques sans que personne ne s’en aperçoive à temps.
Par conséquent, les experts recommandent de traiter les agents d'IA comme des identités numériques de grande valeur . Cela implique de ne leur accorder que les autorisations strictement nécessaires, de surveiller étroitement leur activité, de mettre en place des mécanismes pour interrompre ou limiter leurs actions en cas de comportement anormal, et de veiller à ce que les sauvegardes, la restauration et la gouvernance prennent également en compte ces aspects.
Un défi majeur réside dans la visibilité pure et simple : de nombreuses entreprises ignorent le nombre d’agents actifs simultanément, les systèmes auxquels ils se connectent et les données auxquelles ils accèdent . Sans inventaire ni traçabilité, le risque de perte de contrôle explose et tout incident peut être amplifié par l’autonomie même de ces systèmes.
La bonne nouvelle, c'est que les outils de gestion des identités, des permissions et des accès – humains et non humains – existent déjà et sont relativement aboutis . Le véritable défi est d'ordre culturel et organisationnel : il s'agit d'intégrer dès le départ la gouvernance, la résilience et la formation, plutôt que de considérer l'IA comme un simple module à installer et à utiliser.
Globalement, il apparaît clairement que les mots de passe conservent un rôle important, mais qu'ils ne peuvent plus, à eux seuls, garantir la sécurité numérique . Dans un contexte où l'IA accélère les attaques comme les défenses, où des agents autonomes prennent des décisions dans les systèmes critiques et où les identités se multiplient, la stratégie consiste à utiliser des mots de passe longs et uniques, gérés par des outils robustes, systématiquement complétés par l'authentification multifacteur (MFA), à réduire progressivement leur importance grâce aux clés d'accès et aux systèmes sans mot de passe, et à renforcer un modèle d'identité et d'accès basé sur le principe du « Zéro confiance » et une surveillance continue. C'est la seule façon de contenir un environnement de menaces qui devient chaque jour plus rapide, plus automatisé et plus intelligent.
