Google pausa programa de recompensa por bugs em código aberto devido ao aumento de envios por IA

O Google colocou oficialmente em pausa o seu Programa de Recompensas por Vulnerabilidades em Softwares de Código Aberto a partir de 1º de outubro, citando um fluxo insustentável de envios automatizados de baixa qualidade voltados à segurança. A gigante da tecnologia indicou que os mantenedores do projeto precisam de alívio diante da sequência constante de descobertas inválidas, confirmando que uma atualização oficial sobre o status da iniciativa só será divulgada no primeiro trimestre de 2027.

Volume de envios automatizados sobrecarrega mantenedores

A decisão de congelar a iniciativa de recompensa em código aberto decorre de um aumento vertiginoso nos envios automatizados, que o Google observou serem esmagadoramente inválidos. Mantenedores e engenheiros de triagem responsáveis por analisar os relatórios de segurança recebidos enfrentaram uma avalanche de alegações de bugs de baixa qualidade. Muitas dessas submissões apresentavam constatações falsas e alucinações geradas por IA, forçando os engenheiros a gastar um tempo valioso analisando avaliações de código que pareciam plausíveis, mas eram completamente incorretas.

Essa pausa operacional reflete alertas mais amplos de especialistas em cibersegurança, que têm advertido repetidamente que ferramentas acessíveis de IA generativa ameaçam sobrecarregar os fluxos tradicionais de caça a bugs. Ao permitir relatórios automatizados de vulnerabilidade com pouco esforço e em grande escala, essas ferramentas inundam os canais de código aberto e desviam especialistas humanos essenciais da resolução de falhas de segurança reais.

Canais alternativos de recompensa permanecem ativos

Embora o programa específico de recompensas para código aberto esteja temporariamente fechado para novos envios, o Google confirmou que seus outros programas de recompensa por vulnerabilidades permanecem totalmente ativos. Pesquisadores independentes de segurança são incentivados a participar por meio desses outros canais consolidados enquanto a empresa avalia soluções de longo prazo para gerenciar os envios automatizados.

Essa pausa de múltiplos anos ressalta o grave desafio que as organizações enfrentam para equilibrar envios abertos da comunidade com a realidade do ruído automatizado, destacando a necessidade urgente de modelos de triagem redesenhados na era da IA generativa.

Ilustração editorial gerada por IA; não é uma fotografia documental.

Fonte: Google froze its open source bug bounty program due to a ‘significant rise’ in AI submissions