Google congela bug bounty open source após avalanche de relatos gerados por IA

O Google suspendeu o recebimento de novas vulnerabilidades de produtos no seu programa de recompensas para software de código aberto, o OSS VRP, após uma avalanche de relatos automatizados e majoritariamente inválidos gerados por IA.

A pausa começou em 1º de outubro de 2026. Envios feitos antes dessa data não são afetados, e o Google promete reformular o programa com uma atualização prevista para o primeiro trimestre de 2027, enquanto orienta pesquisadores a usar outras linhas de recompensa.

O caso expõe como o lixo gerado por IA está virando um fardo real para a segurança open source, soterrando falhas genuínas sob ruído falso e sobrecarregando quem mantém códigos críticos protegidos.