Google suspende bugs de produto em seu bug bounty de código aberto

A página de regras do Google Open Source Software Vulnerability Reward Program diz isso em uma linha: a partir de 1º de outubro de 2026, relatórios de vulnerabilidades de produto não são mais aceitos. A única exceção envolve alguns repositórios do Google Cloud com impacto em produtos do Google Cloud, cujos relatórios ainda podem passar pelo Cloud VRP. A conta @GoogleVRP no X esclareceu em 1º de outubro que a medida não afeta os relatórios sobre a cadeia de suprimentos nem os já enviados e ainda abertos, e convidou os pesquisadores a voltar a atenção para os outros programas VRP da empresa. Continua valendo toda a escala de recompensas por comprometimento da cadeia de suprimentos: até 31.337 dólares para projetos de nível OT0 (Flagship), 13.337 para OT1, 3.133,70 para OT2 e nenhum dinheiro para OT3.

O ponto a anotar é que a página oficial não diz por quê. Anuncia a suspensão, compromete-se a continuar revisando essa parte do programa e marca um encontro para o primeiro trimestre de 2027. O motivo precisa ser buscado em outro lugar, e o documento que chega mais perto é o post do blog Google Bug Hunters dedicado à revisão das regras de 2026: ali a empresa apontava um forte aumento de relatórios de baixa qualidade ou inválidos, incluindo "AI-generated reports that contain incorrect information or 'hallucinations' about how a vulnerability might be triggered". Com essa mesma revisão vieram os níveis de projeto OT0–OT3, a exigência de que projetos de nível alto apresentem uma reprodução exata com OSS-Fuzz ou um patch já aceito nos relatórios de corrupção de memória, e o fim dos prêmios em dinheiro para vulnerabilidades de produto nos níveis OT2 e OT3. O Tom's Hardware e outros veículos ligam a suspensão de outubro a essa mesma onda de relatórios gerados com IA.

A ligação é, portanto, plausível, mas indireta: em março o Google descreveu o problema, em outubro fechou a categoria, e a página de regras não traça nenhuma linha entre as duas coisas. O Google não publicou números: nem quantos relatórios chegam, nem que parcela é inválida, nem quantos dos inválidos foram produzidos com um modelo. Circula também uma frase atribuída à empresa sobre um forte aumento de envios automatizados, em grande maioria inválidos: não consegui verificá-la em um texto integral, porque o post no X exige login, então a deixo fora da conta dos fatos. Vale lembrar que o contexto existe também fora do Google: em 2026 o projeto curl encerrou seu próprio bug bounty, e a pressão sobre os mantenedores de código aberto não é um tema que nasce em Mountain View.

O que me chama a atenção é a forma da decisão: declarada provisória, com uma atualização prometida até o primeiro trimestre de 2027. O Google a apresenta como temporária, mas não diz o que sairá dela. Enquanto isso, porém, salvo a exceção dos repositórios do Google Cloud, o canal está fechado para quem encontra essas vulnerabilidades à mão, e nos próximos meses só se saberá o que o Google decidir contar: sem números públicos, a única forma de julgar se a suspensão funcionou será ler a atualização que o Google prometeu para o primeiro trimestre de 2027.

— Olya