Análise da suspensão do Google OSS VRP: validação é escassa

A caixa de entrada de bug bounty sempre foi um pântanozinho estranho: exploits reais, mal-entendidos entusiasmados, relatos duplicados e a ocasional captura de tela com o valor forense de uma batata. O Google acabou de colocar uma cerca temporária em volta de parte desse pântano. Não porque pesquisadores pararam de encontrar bugs, mas porque máquinas tornaram barato demais enviar ruído em escala industrial.

Desta vez, não é uma violação com um pedido de desculpas plastificado. É uma história de falha de processo, o que, de algum modo, é mais útil e menos cinematográfico. A lição é direta: quando a IA torna barata a geração de relatórios, a parte cara passa a ser provar que qualquer coisa naquela pilha é real.

O Que Aconteceu: Uma Fila de Bounties Bateu no Muro do Spam

Segundo o dev.ua, o Google suspendeu relatórios no âmbito do seu Open Source Vulnerability Rewards Program a partir de 1º de outubro de 2026, após um aumento anormal de relatórios gerados por IA, a maioria deles inválida. O BleepingComputer relatou a mesma pausa para envios do OSS VRP e disse que o programa cobre projetos de código aberto mantidos pelo Google, incluindo Golang, Angular, Bazel, Protocol Buffers e Fuchsia, além de dependências críticas de terceiros e configurações de repositórios. O Google lançou o OSS VRP em agosto de 2022, segundo o BleepingComputer, com recompensas que variam de US$ 100 a US$ 31.337 por falhas de segurança com impacto significativo na cadeia de suprimentos de software.

@title Como o spam de IA trava a triagem
@source BleepingComputer
@source Neowin

  AI reports
     │
     ▼
  Mostly invalid
     │
     ▼
  Human review
     │
     ├─ OSS product pause
     ├─ Supply chain continues
     ├─ Cloud VRP continues
     └─ Patch Rewards continues

@caption O Google pausou relatos de produtos OSS enquanto outros caminhos de reporte continuam abertos.

A citação-chave, via BleepingComputer, é o tipo de frase corporativa calma que esconde uma sala de triagem cheia de pessoas encarando o abismo fluorescente: "Temporariamente, não estamos mais aceitando envios de vulnerabilidades de produto no OSS VRP. Isso não afeta relatórios de cadeia de suprimentos do OSS VRP nem quaisquer relatórios pendentes." O Google também disse, segundo a mesma reportagem: "Esta pausa se deve a um aumento significativo nos envios automatizados, a grande maioria dos quais não é válida." Tradução: o scanner encontrou uma sombra, escreveu uma novela, e um humano ainda teve que verificar se o dragão existia.

O Raio de Impacto: Menor do Que a Manchete Faz Parecer

A Neowin informou que o congelamento afeta relatos de bugs em código aberto até o primeiro trimestre de 2027, mas apenas para envios de vulnerabilidades de produto dentro da estrutura do OSS VRP. Essa distinção importa, porque programas de divulgação de vulnerabilidades não são um botão vermelho gigante com a etiqueta pânico. O BleepingComputer relatou que os relatórios de cadeia de suprimentos do OSS VRP e os relatórios pendentes não foram afetados, e que pesquisadores ainda podem usar os envios do Google Patch Rewards Program para correções em código aberto, com recompensas de até US$ 15.000 por correções de alto impacto.

O BleepingComputer também informou que vulnerabilidades em repositórios de código aberto do Google Cloud que afetem produtos Cloud ainda podem passar pelo Cloud VRP. Então, a conclusão útil para o leitor não é que o Google abandonou a segurança de código aberto. É que uma faixa de entrada ficou tão congestionada que o Google a fechou temporariamente, deixando outras faixas abertas, como um hospital redirecionando casos não urgentes porque a sala de espera está cheia de prontuários gerados por IA diagnosticando todo mundo com febre de farol.

A Economia: A IA Barateou os Relatórios, a Validação Continuou Cara

A Neowin relatou que mantenedores estavam sendo sobrecarregados por milhares de relatos falsos e que cada relatório precisava ser verificado por um humano, levando ao esgotamento. Essa é a história real. A IA não criou magicamente vulnerabilidades verificadas na mesma velocidade com que criou envios com aparência plausível, e plausível é uma palavra perigosa em segurança porque está a uma troca de fantasia de desperdiçar uma semana.

Programas de bug bounty costumavam presumir uma certa quantidade de atrito: encontrar um bug, reproduzi-lo, escrever um relatório e explicar o impacto exigia esforço. A IA reduz o custo da papelada e, às vezes, da primeira varredura de descoberta, mas não reduz automaticamente o custo da validação. O gargalo se move do volume de descoberta para a qualidade do sinal, e se o seu processo de entrada paga o mesmo imposto de atenção para bobagens e para um exploit funcional, parabéns, você construiu uma vulnerabilidade de negação de serviço na sua própria fila de triagem.

O Que Isso Realmente Significa Para Você

Para construtores e líderes de segurança, a pausa do Google relatada pelo BleepingComputer e pelo dev.ua é um estudo de caso útil sobre como projetar programas de divulgação para um mundo saturado de IA. Formulários de entrada precisam recompensar reprodutibilidade, prova de impacto, exemplos mínimos funcionais e componentes afetados claros, não apenas uma prosa confiante. Programas também podem precisar de escopos mais precisos, verificações de validação antes do envio, ponderação por reputação do pesquisador e caminhos de rejeição mais rápidos para relatórios que não conseguem mostrar uma fronteira real de segurança sendo atravessada.

Para pesquisadores, a mensagem é igualmente prática: assistência de IA não é o pecado; envio com baixo sinal é. Se uma ferramenta ajuda você a inspecionar código, ótimo, bem-vindo ao trabalho moderno. Mas se o relatório final não consegue explicar o caminho vulnerável, o impacto e as etapas para reproduzir, isso não é pesquisa, é confete com um chapéu em formato de CVE.

O próximo ponto a observar é como o Google reajustará o OSS VRP antes que a pausa termine, algo em que, segundo o BleepingComputer, o Google está trabalhando. Se o Google encontrar um filtro melhor, outros mantenedores vão copiá-lo, porque ninguém quer ver sua mesa de bug bounty virar uma composteira de IA. A internet não é salva apenas por mais relatórios; ela é salva por relatórios validados e acionáveis que permitem que humanos corrijam a coisa certa antes que as pessoas erradas percebam.