Sin embargo; si una empresa utiliza contraseñas de seguridad y contraseñas "robustas"; ¿Existe una necesidad de seguridad de cambiar estos hash ... ya que cada vez que se genera el hash será diferente?

Aparte: el hash no es diferente cada vez, es diferente para cada usuario. Si un hash fuera diferente cada vez que se computara, no tendríamos forma de comparar la contraseña enviada por un usuario y su contraseña almacenada.

Sí, hay una necesidad de seguridad para cambiar las contraseñas cuando están comprometidas: no hay forma de saber qué tan seguras eran las contraseñas de los usuarios, y no hay manera de conocer las capacidades de hash de las contraseñas de su atacante. Si filtra una sal individual, el hash de cifrado de alta dificultad de la contraseña 'password', se descifrará en cuestión de minutos. Forzar a los usuarios a restablecer su contraseña garantiza que incluso las contraseñas débiles no serán expuestas.

  

¿Es una buena idea basada en la idea de que algún punto en el futuro BCRYPTs pueda ser fácil de utilizar en la fuerza bruta?

No, el motivo es el anterior: está aislando a los usuarios de sus propias opciones de contraseña débil. Además, una base de datos robada puede ser más factible para la fuerza bruta a medida que aumenta la potencia de procesamiento, pero A: No estamos viendo incrementos dramáticos en la potencia de procesamiento con la misma frecuencia que hace unos años y B: Idealmente, el administrador está aumentando la dificultad factor del hash bcrypt a medida que pasa el tiempo: el algoritmo está diseñado para ser fácilmente sintonizable para dificultades.