Programas de recompensa por falhas travam com enxurrada de relatórios gerados por IA

Empresas que pagam especialistas para encontrar falhas em seus sistemas estão lidando com um problema inesperado. A popularização de ferramentas de inteligência artificial fez explodir o volume de relatórios de vulnerabilidade, mas boa parte desse material é imprecisa ou simplesmente inútil, a ponto de alguns programas de recompensa terem sido suspensos ou reduzidos.

Os chamados programas de bug bounty sempre dependeram de pesquisadores independentes que analisam códigos e serviços em busca de brechas de segurança em troca de pagamentos por descoberta. Com a chegada de geradores de texto e assistentes de programação, porém, muitas pessoas passaram a usar IA para automatizar a produção de relatórios ou para tentar encontrar vulnerabilidades sem o conhecimento técnico necessário, gerando uma massa de erros que precisa ser triada pelas empresas.

Plataformas que intermediam programas de recompensa relatam um salto súbito no número de submissões. Em um dos maiores serviços do setor, o total de relatórios recebidos em poucas semanas mais que quadruplicou, com a maior parte deles considerada incorreta ou irrelevante para a segurança real dos sistemas analisados.

O impacto já é visível em projetos com longa tradição na comunidade de software. O mantenedor de uma popular ferramenta de transferência de dados decidiu encerrar o pagamento em dinheiro por falhas no início do ano, explicando que o aumento de denúncias fabricadas com ajuda de IA estava consumindo tempo e energia sem gerar descobertas proporcionais em qualidade. A percepção é de que a curva de aprendizado dos participantes caiu enquanto a carga de trabalho de revisão cresceu.

Especialistas em cibersegurança afirmam que a IA generativa mudou a economia desses programas. Para pesquisadores experientes, os modelos ajudam a acelerar a leitura de código, a geração de provas de conceito e a documentação de bugs, o que pode elevar a produtividade e a precisão. Ao mesmo tempo, a mesma tecnologia reduz a barreira de entrada para amadores, que geram textos convincentes sobre falhas que na prática não existem ou não têm impacto real, inflando a fila de análise das equipes internas.

Líderes de segurança da informação em grandes empresas descrevem esse movimento como um desafio crescente. A avaliação é que as recompensas por vulnerabilidades não vão desaparecer, mas terão de ser redesenhadas para lidar com o excesso de ruído. Entre as alternativas em estudo estão filtros automáticos mais rígidos, exigência de comprovações técnicas detalhadas, pontuações de reputação para os pesquisadores mais confiáveis e limites para o número de submissões de novos participantes em um período.

Desde o início dos anos 2000, programas de bug bounty se multiplicaram e se tornaram uma peça importante da defesa digital de grandes grupos de tecnologia. Empresas globais chegaram a distribuir milhões de dólares por ano para quem identifica falhas graves em sistemas amplamente usados, como navegadores, aplicativos móveis e serviços em nuvem.

Com a nova onda de relatórios gerados por IA, porém, a balança entre custo e benefício passa a ser revista. Para continuar atraindo talentos qualificados sem serem sobrecarregadas por denúncias vazias, empresas e plataformas do setor estudam como incorporar a IA como aliada dos pesquisadores e ao mesmo tempo filtrar o que já é visto por alguns executivos de segurança como uma produção infinita de lixo digital.