密码仍然是防御未授权访问的主要手段，然而用户行为往往优先考虑易记性而非安全性。传统的密码强度检查器依赖于静态语法规则（例如长度、字符种类），未能考虑用户选择的语义上下文。用户经常从个人信息（如姓名、生日、爱好）中衍生密码，而这些信息如今大多在社交媒体平台上公开可用。
本文介绍了SODA ADVANCE，这是一个数据重建工具，通过扩展一个模块来利用公开可用的社交网络数据评估密码强度。此外，本文还探讨了大语言模型的双刃剑角色：作为生成强大、个性化密码和评估安全性的潜在资产，以及如果被滥用于密码破解则构成重大威胁。
本研究围绕三个关键问题展开：大语言模型能否基于公开数据生成复杂但易记的密码？它们能否在考虑个人信息的情况下有效评估密码强度？跨多个网络的数据传播如何影响这些能力？
SODA ADVANCE 是 SODA 工具的演进版本，专门设计用于通过从公开来源重建用户的数字足迹来评估密码脆弱性。
该框架的架构（如PDF中图1所示）涉及多个集成模块：
图表描述（图1概述）：该图展示了一个从社交网络数据收集（网络爬虫/抓取器）开始的流程，导向一个合并模块（人脸识别、数据合并）。重建的画像（包含姓名、姓氏、城市等）和一个输入的密码被送入一个聚合模块，该模块计算度量指标（CUPP、LEET、COVERAGE、FORCE、CPS）并输出一个强度分数，通过一个向“是”或“否”倾斜的天平可视化表示。
SODA ADVANCE 采用并扩展了几种既定的度量指标：
本文引入了一种新颖的累积密码强度度量指标，它将上述方法的分数聚合为一个单一的、全面的强度指标。
本研究认为，像 GPT-4 这样的大语言模型代表了一种范式转变，既是防御的强大工具，也是攻击的利器。
当输入用户的公开个人资料数据时，大语言模型可以生成具有以下特点的密码：
这种能力肯定地回答了第一个研究问题，但也突显了威胁：攻击者可以使用相同的技术来生成高概率的密码猜测。
除了生成，还可以提示大语言模型根据用户画像评估给定密码的强度。它们可以进行语义推理，识别非显而易见的关联（例如，“Orange123”对于一个最喜欢的篮球队是奥兰多魔术队且生日是12月3日的用户来说可能很弱）。这种上下文评估超越了传统的基于规则的检查器，正面回应了第二个研究问题。
该研究涉及100名真实用户。研究人员从社交网络重建了他们的公开画像。测试了两个主要流程：
这些结果与 SODA ADVANCE 基于度量指标的模块的评估结果进行了比较。
高
大语言模型始终如一地生成了既强度高（高熵）又为用户进行了上下文个性化的密码。
结合上下文时更优
在提供用户画像数据的情况下，大语言模型在识别语义上弱的密码方面优于传统度量指标。
显著
跨多个平台（Facebook、LinkedIn、Instagram）的数据丰富性和冗余性极大地提高了 SODA ADVANCE 重建的准确性以及基于大语言模型的生成/评估的有效性。
实验表明，个人信息的公开可用性对于防御性工具和可能使用类似人工智能驱动方法的潜在攻击者而言，都起到了力量倍增器的作用。
新颖的累积密码强度度量指标被概念化为来自各个度量指标的归一化分数的加权聚合。虽然摘录中没有详细说明确切的公式，但可以推断为：
$CPS = 1 - \frac{1}{N} \sum_{i=1}^{N} w_i \cdot S_i$
其中：
$\ell(P) = \frac{\text{密码 } P \text{ 中应用了 Leet 替换的字符数}}{\text{密码 } P \text{ 的长度}}$
较高的 $\ell(P)$ 表明密码可能只是对字典单词的简单混淆。
案例研究：评估“GeorgeCali1023”
输入：
框架应用：
结论：虽然传统的熵值（FORCE）表明强度中等，但上下文度量指标（CUPP、COVERAGE）和大语言模型评估都将其标记为极度脆弱，因为它与公开个人数据具有高度的语义关联。这例证了本文的核心论点。
核心见解：本文成功地强调了一个可怕且不可避免的事实：在上下文真空中评估密码的时代已经结束。你的“强”密码只与你公开数字足迹中最薄弱的环节一样强。SODA ADVANCE 将这种威胁形式化了，但真正的游戏规则改变者是证明了大语言模型不仅仅自动化了破解过程——它们理解这个过程。这将攻击面从暴力计算转移到了语义推理，这是一种更高效、更危险的范式。
逻辑脉络：论证令人信服：1) 个人数据是公开的（事实），2) 密码源自个人数据（事实），3) 因此，公开数据可以破解密码（由 SODA 等工具证实）。4) 大语言模型极其擅长处理和生成语言，包括个人数据和密码模式。5) 所以，大语言模型是该领域终极的双重用途技术。本研究用实证数据清晰地验证了这一脉络。
优势与不足：
可操作的见解：
本研究的意义远超出学术兴趣：
开源情报工具、数据重建技术和生成式人工智能的融合标志着安全领域的新前沿。未来不在于创建越来越复杂的密码，而在于开发能够理解并防御我们不可避免地在线泄露的语义关联的智能系统。