แม้ Google จะผลักดันให้ Passkeys เป็นมาตรฐานใหม่สำหรับการยืนยันตัวตนแทนรหัสผ่านแบบเดิม ด้วยจุดเด่นที่ไม่สามารถฟิชชิงหรือคัดลอกไปใช้งานได้ง่าย แต่ผลการวิจัยล่าสุดกลับชี้ว่า ระบบนี้ยังมีช่องโหว่ที่อาจถูกโจมตีได้ หากอุปกรณ์ของผู้ใช้ติดมัลแวร์ ทีมนักวิจัยด้านความปลอดภัยได้เปิดเผยเทคนิคการโจมตีแบบใหม่ที่เรียกว่า Pass-ta-key มุ่งเป้าไปที่ Google Password Manager บนเบราว์เซอร์ Chrome สำหรับ Windows ที่รองรับ Trusted Platform Module (TPM) โดยการโจมตีทั้งหมดไม่ได้เกิดจากการเจาะระบบเข้ารหัสของ Passkeys แต่เป็นการอาศัยช่องโหว่ของกระบวนการยืนยันตัวตนและความน่าเชื่อถือของอุปกรณ์ มัลแวร์ปลอมตัวเป็นอุปกรณ์ที่เชื่อถือได้ การโจมตีรูปแบบแรกทำให้มัลแวร์สามารถปลอมตัวเป็นคอมพิวเตอร์ที่ผู้ใช้เคยยืนยันตัวตนไว้ แล้วขอข้อมูลสำหรับเข้าสู่ระบบจากเซิร์ฟเวอร์ของ
