14 out Bug Bounty: Google muda recompensas após enxurrada de relatórios de IA
O Google divulgou, nesta terça-feira (13), uma reestruturação no programa de recompensas por vulnerabilidades no navegador Chrome. A empresa aumentou os valores base oferecidos a pesquisadores de segurança que identificam falhas de segurança, com foco principal em problemas de segurança de memória. A medida representa um recuo parcial em relação às reduções drásticas promovidas pela companhia no início do ano.
A mudança ocorre em um momento em que ferramentas de inteligência artificial (IA) vêm alterando o ritmo e o perfil da descoberta de vulnerabilidades em sistemas de tecnologia. O avanço dessas plataformas automatizadas gerou uma enxurrada de relatórios enviados a programas de bug bounty, o que levou a big tech a recalcular as políticas de incentivo e triagem.
A empresa havia cortado, em abril, de forma expressiva os valores padrão pagos por relatórios para o Chrome. A justificativa era direcionar o foco para alertas acionáveis e de maior qualidade. Na ocasião, pesquisadores da área relataram que algumas recompensas chegaram a ficar dez vezes menores, com a fixação de um valor base de 500 dólares (cerca de R$ 2,5 mil) para falhas de memória.
Com as novas regras divulgadas pela empresa, essa taxa base passa de 500 para 2.000 dólares — cerca de R$ 2.500 para R$ 10.000, em conversão aproximada. Apesar do aumento de quatro vezes no valor inicial, as quantias continuam inferiores às pagas antes da reformulação promovida em abril.
Gargalo de relatórios automatizados
A popularização da IA gerou um efeito colateral direto na rotina das equipes de segurança da informação. Capazes de varrer códigos em busca de inconsistências em segundos, ferramentas automatizadas multiplicaram o volume de notificações enviadas a empresas de tecnologia, muitas vezes sem demonstrar um impacto real de invasão ou com informações incompletas.
O cenário levou o Google a tomar medidas drásticas em outros projetos de segurança. A companhia confirmou, no início do mês, que precisou interromper temporariamente o envio de vulnerabilidades no programa voltado a softwares de código aberto, o “Open Source Software Vulnerability Reward Program” (OSS VRP). Segundo a empresa, a suspensão ocorreu devido ao “crescente número de relatórios gerados por inteligência artificial” que sobrecarregaram o sistema de análise.
PSA for open-source bug hunters
We are temporarily no longer accepting OSS VRP product vulnerability submissions. This does not impact OSS VRP supply chain reports, or any outstanding reports. As an alternative, we encourage you to find impact across our other VRP programs…
— Google VRP (Google Bug Hunters) (@GoogleVRP) October 1, 2026
A exigência por relatórios detalhados também se refletiu nas regras do Chrome. Em diretriz atualizada para pesquisadores que utilizam agentes automatizados, a empresa deixou claro o rigor necessário para a aceitação das denúncias:
“Relatórios que não atendem aos nossos requisitos básicos serão limitados a um valor de recompensa abaixo do padrão, independentemente da categoria em que se enquadrem”, destacou a companhia, na documentação oficial do programa.
Novos tetos para o Chrome
Pelo novo modelo de remuneração do Chrome VRP, falhas encontradas nos processos de navegação, GPU e rede do navegador podem render até US$ 20 mil (cerca de R$ 100 mil) aos pesquisadores, a depender da complexidade do problema e do nível de controle demonstrado sobre a falha.
Já para problemas no processo de renderização, os pagamentos chegam a US$ 8 mil (cerca de R$ 40 mil) em casos de manipulação indevida de memória. Vulnerabilidades ligadas ao ambiente isolado do motor V8 passam a ter uma taxa fixa de US$ 5 mil, enquanto falhas de lógica no mesmo componente serão recompensadas com US$ 4 mil — R$ 25 mil e R$ 20 mil, respectivamente, em conversão direta.
Para relatórios que envolvam problemas sem relação com a memória, mas de gravidade média, a Google pagará US$ 2 mil (cerca de R$ 10 mil), desde que o alerta traga ou leve diretamente à identificação de uma solução.
Escapes de ambiente isolado fora da categoria de memória podem alcançar bônus de até US$ 20 mil (cerca de R$ 100 mil).
A empresa também reintroduziu um bônus de US$ 2 mil (cerca de R$ 10 mil) para quem desenvolver novas ferramentas de automação para testes de software, conhecidas como fuzzers.
O Google confirmou que as avaliações pendentes já passarão pelo novo crivo financeiro: “Quaisquer envios que estejam atualmente em nossa fila de avaliação enviados após 30 de abril de 2026 serão avaliados e recompensados sob as novas regras de pagamento”, informou a big tech, na atualização enviada aos participantes.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.