Em 4 de outubro de 2026, o Google congelou temporariamente as submissões do seu programa de recompensas por vulnerabilidades em software de código aberto (Open Source Software Vulnerability Rewards Program – OSS VRP). A decisão foi motivada por um aumento exponencial de relatórios de segurança gerados de forma automatizada por modelos de linguagem, que inundaram os canais de triagem com análises plausíveis superficialmente, mas destituídas de exploração funcional ou impacto real.
Segundo a equipe de segurança da empresa, a proliferação de ferramentas de IA generativa reduziu drasticamente o custo de envio para pesquisadores e participantes casuais. Relatórios que anteriormente demandavam horas de engenharia reversa e validação manual passaram a ser produzidos em escala por prompts automatizados apontando supostos riscos teóricos em repositórios públicos. O resultado foi a sobrecarga dos engenheiros responsáveis por revisar cada envio, gerando um custo operacional de triagem desproporcional ao benefício de segurança gerado.
O problema central reside no padrão das alucinações técnicas produzidas pelos modelos. As saídas frequentemente descrevem fluxos lógicos convincentes, citam linhas de código reais e estruturam argumentos bem redigidos, mas ignoram proteções em camadas mais profundas da arquitetura ou pressupõem acessos privilegiados que não existem no ambiente de produção. Para os analistas da triagem, descartar esses falsos positivos exige quase o mesmo tempo dedicado à avaliação de vulnerabilidades legítimas, travando a fila de atendimento.
Além disso, a assimetria econômica do processo tornou a situação insustentável: enquanto o remetente gasta frações de centavo e poucos segundos para acionar um script de automação, a equipe de triagem consome dezenas de minutos de profissionais altamente qualificados para cada análise minuciosa. Quando centenas de relatórios entram por dia, o programa perde sua função original de premiar descobertas reais e passa a atuar como um filtro exaustivo de ruído sintético.
O episódio ilustra um fenômeno crítico na governança de inteligência artificial: a assimetria entre o custo marginal quase nulo de produzir saídas e o custo humano elevado de verificar sua veracidade. Na prática de engenharia de software e cibersegurança, essa realidade reforça a urgência de ferramentas de observabilidade de IA para garantir segurança, demonstrando que a telemetria precisa auditar não apenas a disponibilidade de agentes, mas a precisão factual das conclusões apresentadas.
A suspensão do programa abrange exclusivamente a esteira de código aberto, enquanto os programas voltados para serviços em nuvem e infraestrutura proprietária mantêm seus fluxos sob filtros reforçados. O Google informou que estuda novos critérios de aceitação, incluindo a exigência de provas de conceito (PoC) executáveis em ambientes isolados e penalidades com suspensão de contas para remetentes que submetem relatórios em lote sem teste prévio. A iniciativa evidencia que barreiras mecânicas de verificação se tornarão padrão em programas de recompensa em todo o setor de tecnologia.
Para gestores e profissionais de operações, o congelamento serve de alerta contra a automação ingênua de auditorias de código ou dados. Utilizar modelos para varreduras preliminares é legítimo, mas submeter relatórios sem comprovação prática corrói a confiança institucional e esgota times técnicos. A proteção de sistemas contra vetores automatizados de prompt injection e envios espúrios agora passa por filtros de qualidade na entrada e responsabilização humana por cada entrega. Sem filtros rigorosos, a automação indiscriminada transforma produtividade em sobrecarga de verificação.
