Google suspende programa de bug bounty por excesso de IA

Author: Compilado do Código Fonte TV [OFICIAL] · Watch on YouTube

Video authored by the channel shown, not by IANIA; all rights belong to the creator. Transcript and summary generated automatically; the original-language content is preserved.

Original language: Portuguese

Original video: Google suspende programa de bug bounty por excesso de IA · Channel: Compilado do Código Fonte TV [OFICIAL] · 08:26 · Watch on YouTube

Topics: Cybersecurity and software security, Software engineering with AI, Open source and software ecosystems

Summary

O Google suspendeu temporariamente o recebimento de novas submissões em seu Open Source Software Vulnerability Rewards Program após um aumento de relatórios automatizados, em sua maioria sem validade técnica. Engenheiros e mantenedores ficaram sobrecarregados com notificações inválidas ou com alucinações de modelos de linguagem. O vídeo discute possíveis formas de filtrar contribuições, como verificar contas e limitar envios, sem simplesmente barrar o uso de IA. Também aborda a dificuldade de manter projetos open source alinhados a seus objetivos quando recebem muitas contribuições irrelevantes ou geradas por IA.

Key points

O Google interrompeu novas submissões ao seu programa de recompensas por vulnerabilidades em software open source em 1º de outubro.
A empresa atribuiu a pausa ao aumento de relatórios automatizados, cuja vasta maioria não tinha validade técnica.
Engenheiros do Google e mantenedores de projetos open source foram sobrecarregados por notificações inválidas ou com alucinações de modelos de linguagem.
O Google prometeu divulgar uma atualização sobre o futuro da iniciativa no primeiro trimestre de 2027.
Uma possibilidade discutida é verificar contas e limitar a quantidade de contribuições para reduzir envios de baixa qualidade.
Projetos open source também enfrentam dificuldades para revisar o volume de pull requests e contribuições recebidas.
Aceitar contribuições sem avaliação pode adicionar ao projeto funcionalidades que não correspondem a seus objetivos ou ao seu núcleo.
O vídeo ressalta que usar IA para ajudar na revisão exige alinhamento com os objetivos e a evolução do projeto.

Chapters

Start	Chapter	Summary
00:02	Pausa no programa de recompensas do Google	O vídeo apresenta a suspensão temporária de novas submissões após um aumento expressivo de relatórios automatizados.
02:07	Relatórios inválidos e possíveis filtros	Os participantes discutem a sobrecarga causada por notificações inválidas e propõem verificar contas e limitar envios.
04:43	O impacto sobre programas e projetos open source	A conversa relaciona o volume de contribuições à dificuldade de revisão em programas de recompensa e repositórios.
06:50	Manter os projetos alinhados aos seus objetivos	O vídeo destaca que contribuições, inclusive as geradas com IA, podem acrescentar funcionalidades que não pertencem ao núcleo do projeto.

Quotes

A vasta maioria de todo esse material não possui validade técnica. — 01:35

O Google prometeu divulgar uma atualização formal sobre o futuro da iniciativa no primeiro trimestre de 2027. — 03:10

Do jeito que está, realmente fica insustentável. — 04:43

Não é que tudo que está sendo criado seja inútil, mas também não é que seja útil. — 07:20

Concepts and entities

Google, Open Source Software Vulnerability Rewards Program, bug bounty, GitHub, Google Play, vibe coding, alucinação de modelos de linguagem

Full transcript (original language)

00:02 E o Google suspende programa de bug bounty por excesso de IA. >> Mais IA. >> Mais IA. >> Nesse caso é muito IA. >> de IA. >> Google congelou, né, temporariamente as atividades do Open Source Software Vulnerability Rewards Program, bug bounty, né, até o próximo ano, após registrar um salto expressivo de relatórios automatizados gerados por inteligência artificial. Mas ela queria o quê também? Ela tá incentivando isso. >> Pois é, tá colhendo os próprios frutos agora. >> Então, como como ela tá em excesso de IA e ela incentiva o

00:33 uso e ela disponibiliza também o uso de ferramentas de IA, então tem que adaptar, assim, na visão de quem fornece, tem que adaptar os programas para que elas consigam aceitar essa quantidade de de contribuições, não é? >> É, esse é o desafio. >> Porque pois é, porque >> tão conseguindo, imagina só os os projetos Open Source. >> Humanamente já é difícil de você aceitar isso, essas contribuições todas manualmente. Então cabe a ela se adaptar. Tá, se ela mesmo não consegue, imagina então outras empresas, né? A iniciativa foi estruturada pela empresa

01:04 para remunerar pesquisadores de segurança focados em descobrir vulnerabilidade em seus softwares de código aberto. Várias empresas têm esse tipo de programa também. >> E várias estão cancelando. >> E várias estão cancelando ou simplesmente parando ali, né, eh, temporariamente. De acordo com o comunicado divulgado no X e no portal do projeto, o recebimento de novas submissões foi interrompido formalmente em 1º de outubro. Porque isso aí gera dinheiro, né? Então se a pessoa realmente tem a capacidade jogar um agente lá e fizer qualquer coisinha de mudança ou algum tipo de contribuição, imagina um realmente uma

01:35 pessoa que é um caça bug >> Uhum. >> joga um agente para fazer isso, o cara vai para a praia, deixa lá ele submetendo coisas para para os vários programas de bug bounty que tem aí nas empresas. Aí pensa assim, OK, em alguma vai passar, eu vou ganhar ali uma recompensa e vai tá de boa, né? Então, pois é, isso se torna um problemático realmente, né? Em Em oficial, a companhia justificou que a decisão decorre do aumento descontrolado de envios disparados por ferramentas automáticas, ressaltando expressamente que a vasta maioria de todo esse material não possui validade técnica.

02:07 >> Aí vem o problema. >> Pois é, aí então, o que você tem que fazer? Na minha visão, você tem que começar filtrar as contas de pessoas que realmente estão ali alinhadas. É como eles, as políticas que eles utilizam para liberar os aplicativos, não é? No Google Play, por exemplo. É super difícil você colocar a aplicação ali, tem vários critérios, tudo. No Bug Bounty também, eles não podem deixar qualquer conta submeter um um problema. >> Pois é, acaba complicando o processo,

02:38 porque supostamente qualquer pessoa poderia achar um bug e concorrer, mas realmente agora ficou complicado, né? Como o Gabriel falou, vale a pena tentar em todos os Bug Bounties aí para ver o qual deles sai algum resultado, né? Tanto os engenheiros internos do Google quanto os mantenedores de código aberto ficaram sobrecarregados por notificações que se mostraram inválidas ou continham alucinações de modelos de linguagem. O cenário confirma os alertas de especialistas em cibersegurança que desde o último ano já apontavam o lixo produzido por IA como uma ameaça

03:10 concreta para o funcionamento de programas de recompensa corporativos. O Google prometeu divulgar uma atualização formal sobre o futuro da iniciativa no primeiro trimestre de 2027, orientando os pesquisadores da área a direcionarem seus esforços para os outros programas de caça a falhas mantidos pela organização. Eu tenho para mim que vão acabar com o programa e dificilmente eu vão conseguir achar um meio termo ou algo de de barrar o que tá vindo de IA. É, não sei, pode ser que eu esteja errada, mas >> Não, mas não é barrar.

03:41 >> complicado. >> Eu acho que barrar, não tem que barrar. O problema é você dar, é, você tem que filtrar. Então, as contas meio que verificadas, que já contribuíram ou que ou que estão limpas ou mesmo limitar o sistema para um número limitado de contribuições para controlar tipo olha só você quer contribuir ok você envia uma solicitação se aquilo for tecnicamente viável beleza aí sua conta ganha ali um um selinho ok você pode

04:11 enviar não precisa ser aprovado é só simplesmente assim ok faz sentido aqui o que você mandou mas faz sentido agora ou não isso aqui é lixo vindo daí automaticamente sua conta está suspensa não está suspensa por um tempo você não pode enviar e aí resta depois a pessoa enviar algo que seja minimamente aprovável e aí ele começa a liberar aí ele consegue falar assim tá bom você está liberado você pode enviar 5 10 20 solicitações nos próximos no próximo x de tempo e aí isso faz com que

04:43 você só deixa ali um cadastro de realmente pessoas que queiram contribuir não com gente criando lixo para tentar caçar algum algum dinheirinho entendeu nesse programa >> ok pode até ser que eles tenham pausado neste primeiro momento para poder fazer talvez essa seleção ou ver como como ajustar esse processo mas do jeito que está realmente fica insustentável né >> porque a gente está falando de programa de bug bounty mas você imagina então a quantidade de gente que está subindo apps com vibe code por exemplo

05:15 sem sem os critérios necessários então a por isso que eu dei o meu exemplo da Google Play porque lá por exemplo o ecossistema já está muito e na própria Apple também já estava avançado para fazer esse tipo de aprovação agora bug bounty não é um programa tão difundido para qualquer um é só para pessoas realmente que são teoricamente né são mais especialistas tudo então obviamente está atraindo o uso de já está atraindo um monte de gente para várias áreas diferentes não que seja problemático mas todas essas ferramentas elas precisam é, se

05:48 modernizar para atender isso também. Inclusive, o próprio GitHub, vários projetos, né, dentro do GitHub, tem tem recebido muitas contribuições e muitos deles já estão pausando contribuições, justamente por conta desse problema, de não não conseguir dar dar conta e muitas vezes, imagina, você, pô, você você tem um projeto, você tem um, dois, três, sei lá, cinco projetos super legais dentro de um de um GitHub e aí você tem 10 PRs para você resolver. E às vezes não é o seu trabalho principal, imagina o tempo

06:18 que que não leva, entendeu? É realmente algo, cara, que ainda não tem uma fórmula, a não ser você ter outras pessoas que ajudem também e você usar IA também para ajudar nessa aprovação. Mas aí tem que estar muito alinhado ali aos objetivos do projeto e ao como você vai fazer o projeto evoluir. Que uma vez que você começa a aceitar IA de forma indiscriminada e só vai tem muito projeto já assim também, tá? E só vai adicionando só só vai adicionando coisas. E aí de repente lá atrás você fala, pô, pera aí, tem muita coisa nesse

06:50 projeto que não tem nem relação ou não deveria ter com o core do projeto, tá fugindo ao objetivo ou entendeu? Muitas vezes isso aqui, poxa, meu projeto, sei lá, tem suporte para plugin para para extensões e muitas vezes o pessoal tá adicionando coisas que poderiam ser uma extensão no no no projeto principal. >> Pois é, você imagina até quem desenvolve um framework, poxa, você tem lá o seu framework utilizado lá por centenas de pessoas. Aí eu, Vanessa, preciso de um item específico ali, vou desenvolver

07:20 porque é algo específico da do meu projeto atual. Aí você vai e joga aquilo dali para o framework principal. Não necessariamente aquilo dali é algo que vai ser utilizado por todo mundo, às vezes, por mais incrível que seja para mim ou para outras 10 pessoas, não vai ser utilizado por milhares, não faz sentido estar no core ali do framework. Então, não é que tudo que está sendo criado, seja por IA ou por outras pessoas, e inútil, mas também não é que seja útil, né? >> Então, tem muitos projetos seguindo esse caminho. Então, a a preocupação é justamente, se você colocar a IA para

07:51 gerir a aprovação desse tipo de coisa, com certeza ela vai descaminhar para um lugar que muitas vezes não é o objetivo do projeto. Se você já percebeu isso em algum projeto, pode comentar aqui, tá? Que eu acho que eu eu tenho visto isso também. E esse aqui é um corte de uma notícia do compilado do Código Fonte TV. >> Onde toda semana tem episódio novo falando de programação, tecnologia, inteligência artificial e cibersegurança. >> Então, já se inscreve aqui no canal do compilado e acompanhe os episódios completos. >> [música]

08:26 [música] [música]