Google suspende envios ao seu programa de recompensas de código aberto após enxurrada de relatórios inválidos gerados por IA

O Google suspendeu parte do seu Open Source Software Vulnerability Reward Program (OSS VRP), o programa de recompensas que paga pesquisadores externos por encontrar falhas de segurança nos projetos de código aberto da empresa. A pausa entrou em vigor em 1 de outubro de 2026, dia em que o Google a anunciou no X e no site do programa; o Tom’s Hardware noticiou em 3 de outubro e o TechCrunch em 4 de outubro.

Por quê

O Google aponta a automação: a pausa se deve a “um aumento significativo de envios automatizados, a grande maioria dos quais não é válida”. Segundo o Tom’s Hardware, engenheiros do Google e mantenedores de código aberto ficaram sobrecarregados com milhares de relatórios de baixa qualidade que alegavam encontrar bugs, mas eram inválidos, não exploráveis ou simplesmente alucinados — o tempo ia para a verificação, e não para corrigir problemas reais.

O que exatamente foi suspenso

• Novos envios de vulnerabilidades de produto (defeitos de código, falhas de lógica ou de design em repositórios públicos do Google).
• Relatórios enviados antes de 1 de outubro não são afetados.
• Relatórios de cadeia de suprimentos continuam aceitos, e alguns problemas em repositórios do Google Cloud ainda podem ir para o Cloud VRP, segundo o Tom’s Hardware.
• O Google promete uma atualização no primeiro trimestre de 2027 e indica seus outros programas de recompensas.

Tendência mais ampla

Modelos de linguagem baratos e scripts automáticos de caça a bugs tornaram quase gratuito gerar relatórios, e o problema não é só do Google. O Tom’s Hardware lembra que mantenedores do kernel Linux disseram recentemente estar sobrecarregados por relatórios gerados com IA e que a Intel também suspendeu um programa que pagava até US$ 100 mil por falha — embora a Intel não tenha citado envios de IA como motivo.