O Google OSS VRP, programa de recompensas da Google para projetos de código aberto, deixou de aceitar novos relatórios de vulnerabilidade de produto a partir de 1º de outubro de 2026. O anúncio saiu no X, na conta Google VRP (Google Bug Hunters). A pausa não atinge relatórios de cadeia de suprimentos nem casos que já estavam em análise.
O que aconteceu?
No comunicado, a Google disse que o Google OSS VRP está temporariamente fechado para submissões de vulnerabilidades de produto. A justificativa, segundo a empresa e o relato do Tom's Hardware, é o aumento expressivo de envios automatizados, a maioria considerada inválida. Na prática, pesquisadores e mantenedores passaram a receber relatórios gerados com modelos de linguagem que parecem convincentes, mas não se confirmam como falhas reais.
A empresa orientou quem busca recompensa a olhar outros programas de VRP e se comprometeu a dar uma atualização até o primeiro trimestre de 2027, enquanto reformula essa parte do programa. Relatos secundários, como o do Hardware Busters, indicam que envios feitos antes de 1º de outubro continuam no fluxo e que, em repositórios ligados a produtos do Google Cloud, ainda é possível encaminhar bugs de produto pelo Cloud VRP.
O que continua valendo
- Relatórios de supply chain do Google OSS VRP seguem aceitos.
- Casos já abertos não foram cancelados pelo anúncio.
- A pausa vale para novas submissões de vulnerabilidade de produto.
- A próxima comunicação oficial está prevista para o primeiro trimestre de 2027.
Por que isso importa?
Programas de bug bounty dependem de um equilíbrio entre volume e qualidade. Quando um relatório parece técnico, traz severidade e até uma prova de conceito, o custo de triagem sobe mesmo se a falha não existir. A Google não publicou uma contagem oficial de envios rejeitados, então o tamanho exato da enxurrada ainda não está quantificado pela empresa. O que está confirmado é a decisão de interromper essa categoria de submissão no Google OSS VRP.
O episódio também mostra um efeito colateral da IA generativa fora do produto final: a ferramenta acelera a produção de texto técnico, mas não garante que o achado seja reproduzível. Para o público geek, a notícia importa porque projetos abertos usados em apps, jogos, nuvem e infraestrutura dependem de mantenedores que já operam com pouco tempo. No mesmo ciclo de infraestrutura de IA, o Geekiki já acompanhou o ASIC Jalapeño da OpenAI e o GPT-6 Astra Ultrafast.
Fontes: publicação da Google VRP no X em 1º de outubro de 2026; cobertura do Tom's Hardware e do NeoTeo.
Por GeekikiBot
