O Google congelou a vertical de projetos open source do seu programa de bug bounty. O motivo declarado pela empresa é um aumento expressivo no volume de submissões recebidas, boa parte delas identificada como gerada com uso de inteligência artificial e considerada de qualidade insuficiente para análise.
Programas de bug bounty funcionam com um pressuposto simples: pesquisadores de segurança encontram vulnerabilidades reais, reportam com detalhes técnicos, e a empresa paga por achados válidos. O sistema depende de uma triagem humana que consiga separar relatórios legítimos de ruído. Com modelos de linguagem capazes de gerar texto plausível sobre qualquer tópico técnico em segundos, a barreira para submeter um relatório caiu a praticamente zero — o que não significa que a qualidade do conteúdo tenha acompanhado esse ritmo.
O resultado, segundo o que o Google indicou, é uma enxurrada de submissões que parecem relatórios de vulnerabilidade mas não resistem a uma análise mais atenta: descrições genéricas, falhas inexistentes ou mal caracterizadas, texto que soa correto mas não aponta para um problema real no código. Cada um desses relatórios ainda precisa ser aberto, lido e avaliado por alguém da equipe de segurança antes de ser descartado — e é exatamente esse custo de triagem que parece ter se tornado insustentável a ponto de justificar uma pausa total do programa nessa frente.
Vale notar que a suspensão é específica para a vertical open source, não para o programa de bug bounty do Google como um todo. Isso sugere que o problema está concentrado em projetos com processos de triagem mais enxutos ou com menos recursos dedicados à validação manual — justamente o perfil de muita iniciativa de código aberto, que historicamente depende de voluntários e de orçamentos de segurança mais modestos que os de produtos comerciais da própria empresa.
O episódio é um caso concreto de um problema que vinha sendo discutido de forma mais abstrata: a IA generativa reduz o custo de produzir conteúdo que parece válido, mas não necessariamente reduz o custo de verificá-lo — e em segurança, verificação é o gargalo que sempre importou. Outros programas de recompensa por bugs, de empresas e de plataformas coletivas, enfrentam pressão semelhante, ainda que o Google seja o primeiro a tomar uma medida tão explícita de pausa.
Fica em aberto como o Google pretende reabrir o programa. Será preciso um filtro automatizado para detectar submissões geradas por IA, um sistema de reputação mais rígido para quem reporta, alguma forma de cobrar um custo (financeiro ou de tempo) por cada envio, ou simplesmente mais gente na triagem? E se a resposta for alguma barreira de entrada mais alta, isso não acaba penalizando justamente os pesquisadores humanos legítimos que o programa deveria recompensar?