O Programa de Recompensas por Vulnerabilidades em Softwares de Código Aberto do Google, que paga pesquisadores por falhas encontradas em todo o ecossistema de código aberto da empresa, foi pausado em 1º de outubro após uma enxurrada de relatos gerados por IA sobrecarregar seus revisores.¹

A explicação da empresa foi direta: “Esta pausa se deve a um aumento significativo de envios automatizados, dos quais a grande maioria não é válida.”¹ Engenheiros e mantenedores de código aberto teriam sido inundados por envios que eram inválidos ou repletos de alucinações de IA — uma carga de trabalho que transforma um programa de recompensas por vulnerabilidades em uma operação de triagem.¹

A suspensão durará até pelo menos o próximo ano, com o Google prometendo uma atualização no primeiro trimestre de 2027. Enquanto isso, a empresa orientou potenciais pesquisadores a recorrerem a seus outros programas de recompensa por bugs.¹

O episódio ocorre após alertas anteriores de especialistas em cibersegurança de que o “conteúdo ruim” gerado por IA poderia prejudicar sistemas de recompensa por bugs ao soterrar relatos legítimos sob lixo automatizado.¹ A decisão do Google sugere que esse risco já não é teórico: o volume de envios de baixa qualidade se tornou suficientemente disruptivo para interromper todo um canal de recompensas de código aberto.

A pressão não se limita ao Google. O Linux enfrentou uma onda semelhante de relatos problemáticos impulsionados por IA, ressaltando um conflito mais amplo para projetos de código aberto: a automação pode ampliar o grupo de pessoas que reportam bugs, mas também pode consumir a escassa atenção humana necessária para verificá-los.²

Para pesquisadores de segurança legítimos, a pausa elimina uma via de compensação. Para mantenedores, é uma admissão de que o atual fluxo de relatos não consegue distinguir sinal de ruído sintético com rapidez suficiente.²