Bug Bounty: Google muda recompensas após enxurrada de relatórios de IA

O Google divulgou, nesta terça-feira (13), uma reestruturação no programa de recompensas por vulnerabilidades no navegador Chrome.

A empresa aumentou os valores base oferecidos a pesquisadores de segurança que identificam falhas de segurança, com foco principal em problemas de segurança de memória.

A medida representa um recuo parcial em relação às reduções drásticas promovidas pela companhia no início do ano.

A mudança ocorre em um momento em que ferramentas de inteligência artificial (IA) vêm alterando o ritmo e o perfil da descoberta de vulnerabilidades em sistemas de tecnologia.

O avanço dessas plataformas automatizadas gerou uma enxurrada de relatórios enviados a programas de bug bounty, o que levou a big tech a recalcular as políticas de incentivo e triagem.

A empresa havia cortado, em abril, de forma expressiva os valores padrão pagos por relatórios para o Chrome.

A justificativa era direcionar o foco para alertas acionáveis e de maior qualidade.

Na ocasião, pesquisadores da área relataram que algumas recompensas chegaram a ficar dez vezes menores, com a fixação de um valor base de 500 dólares (cerca de R$ 2,5 mil) para falhas de memória.

Google suspende recompensas para falhas em softwares abertos após enxurrada de relatórios inválidos Foto: Reprodução/Google Bug Hunters Com as novas regras divulgadas pela empresa, essa taxa base passa de 500 para 2.000 dólares — cerca de R$ 2.500 para R$ 10.000, em conversão aproximada.

Apesar do aumento de quatro vezes no valor inicial, as quantias continuam inferiores às pagas antes da reformulação promovida em abril.

Gargalo de relatórios automatizados A popularização da IA gerou um efeito colateral direto na rotina das equipes de segurança da informação.

Capazes de varrer códigos em busca de inconsistências em segundos, ferramentas automatizadas multiplicaram o volume de notificações enviadas a empresas de tecnologia, muitas vezes sem demonstrar um impacto real de invasão ou com informações incompletas.

O cenário levou o Google a tomar medidas drásticas em outros projetos de segurança.

A companhia confirmou, no início do mês, que precisou interromper temporariamente o envio de vulnerabilidades no programa voltado a softwares de código aberto , o “Open Source Software Vulnerability Reward Program” (OSS VRP) .