O Google divulgou, nesta terça-feira (13), uma reestruturação no programa de recompensas por vulnerabilidades no navegador Chrome. A empresa aumentou os valores base oferecidos a pesquisadores de segurança que identificam falhas de segurança, com foco principal em problemas de segurança de memória. A medida representa um recuo parcial em relação às reduções drásticas promovidas pela companhia no início do ano.
A mudança ocorre em um momento em que ferramentas de inteligência artificial (IA) vêm alterando o ritmo e o perfil da descoberta de vulnerabilidades em sistemas de tecnologia. O avanço dessas plataformas automatizadas gerou uma enxurrada de relatórios enviados a programas de bug bounty, o que levou a big tech a recalcular as políticas de incentivo e triagem.
A empresa havia cortado, em abril, de forma expressiva os valores padrão pagos por relatórios para o Chrome. A justificativa era direcionar o foco para alertas acionáveis e de maior qualidade. Na ocasião, pesquisadores da área relataram que algumas recompensas chegaram a ficar dez vezes menores, com a fixação de um valor base de 500 dólares (cerca de R$ 2,5 mil) para falhas de memória.
Com as novas regras divulgadas pela empresa, essa taxa base passa de 500 para 2.000 dólares — cerca de R$ 2.500 para R$ 10.000, em conversão aproximada. Apesar do aumento de quatro vezes no valor inicial, as quantias continuam inferiores às pagas antes da reformulação promovida em abril.
Gargalo de relatórios automatizados
A popularização da IA gerou um efeito colateral direto na rotina das equipes de segurança da informação. Capazes de varrer códigos em busca de inconsistências em segundos, ferramentas automatizadas multiplicaram o volume de notificações enviadas a empresas de tecnologia, muitas vezes sem demonstrar um impacto real de invasão ou com informações incompletas.
O cenário levou o Google a tomar medidas drásticas em outros projetos de segurança. A companhia confirmou, no início do mês, que precisou interromper temporariamente o envio de vulnerabilidades no programa voltado a softwares de código aberto, o “Open Source Software Vulnerability Reward Program” (OSS VRP). Segundo a empresa, a suspensão ocorreu devido ao “crescente número de relatórios gerados por inteligência artificial” que sobrecarregaram o sistema de análise.
A exigência por relatórios detalhados também se refletiu nas regras do Chrome. Em diretriz atualizada para pesquisadores que utilizam agentes automatizados, a empresa deixou claro o rigor necessário para a aceitação das denúncias:
“Relatórios que não atendem aos nossos requisitos básicos serão limitados a um valor de recompensa abaixo do padrão, independentemente da categoria em que se enquadrem”, destacou a companhia, na documentação oficial do programa.
Novos tetos para o Chrome
Pelo novo modelo de remuneração do Chrome VRP, falhas encontradas nos processos de navegação, GPU e rede do navegador podem render até US$ 20 mil (cerca de R$ 100 mil) aos pesquisadores, a depender da complexidade do problema e do nível de controle demonstrado sobre a falha.
Já para problemas no processo de renderização, os pagamentos chegam a US$ 8 mil (cerca de R$ 40 mil) em casos de manipulação indevida de memória. Vulnerabilidades ligadas ao ambiente isolado do motor V8 passam a ter uma taxa fixa de US$ 5 mil, enquanto falhas de lógica no mesmo componente serão recompensadas com US$ 4 mil — R$ 25 mil e R$ 20 mil, respectivamente, em conversão direta.
Para relatórios que envolvam problemas sem relação com a memória, mas de gravidade média, a Google pagará US$ 2 mil (cerca de R$ 10 mil), desde que o alerta traga ou leve diretamente à identificação de uma solução.
Escapes de ambiente isolado fora da categoria de memória podem alcançar bônus de até US$ 20 mil (cerca de R$ 100 mil).
A empresa também reintroduziu um bônus de US$ 2 mil (cerca de R$ 10 mil) para quem desenvolver novas ferramentas de automação para testes de software, conhecidas como fuzzers.
O Google confirmou que as avaliações pendentes já passarão pelo novo crivo financeiro: “Quaisquer envios que estejam atualmente em nossa fila de avaliação enviados após 30 de abril de 2026 serão avaliados e recompensados sob as novas regras de pagamento”, informou a big tech, na atualização enviada aos participantes.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
Meridiano
