Google suspende temporariamente recompensas por falhas em projetos de código aberto
O Google interrompeu, por tempo indeterminado, o recebimento de determinadas vulnerabilidades pelo seu Programa de Recompensas por Vulnerabilidades em Software de Código Aberto, conhecido pela sigla OSS VRP. A decisão foi motivada pelo crescimento expressivo de submissões automatizadas, cuja maioria, segundo a empresa, não correspondia a falhas válidas.
O anúncio foi feito em 1º de outubro. A pausa se aplica somente a relatos de vulnerabilidades em produtos enviados por meio desse programa. Portanto, não representa o encerramento de todo o OSS VRP nem afeta os relatórios ligados à cadeia de suprimentos de software.
A mudança também não altera a análise de vulnerabilidades de produtos encaminhadas antes de 1º de outubro de 2026. Esses casos continuam fora do alcance da suspensão, assim como os relatos que já estavam pendentes. A empresa não informou um prazo específico para retomar o recebimento das novas submissões nessa categoria.
Outros canais continuam disponíveis
Pesquisadores que identificarem falhas em determinados repositórios do Google Cloud ainda poderão ter uma alternativa. Quando a vulnerabilidade afetar um produto da plataforma, o relato poderá ser avaliado pelo Cloud VRP, programa de recompensas voltado a questões de segurança relacionadas aos serviços do Google Cloud.
A empresa também recomenda que especialistas direcionem suas descobertas a outros programas de recompensas por vulnerabilidades do Google, conforme o produto ou serviço afetado. Antes de enviar um relatório, é importante conferir os critérios de elegibilidade de cada iniciativa: uma falha pode estar fora do escopo de um programa e ser relevante para outro.
Outra opção é o Programa de Recompensas por Patch. Em vez de premiar somente a identificação de um problema já existente, essa iniciativa reconhece melhorias preventivas de segurança em projetos de código aberto. A proposta é incentivar contribuições que reduzam riscos antes que eles resultem em uma vulnerabilidade explorável.
Por que o excesso de relatórios automatizados é um problema
Ferramentas automatizadas ajudam a examinar grandes volumes de código e podem acelerar a descoberta de falhas. No entanto, um alerta produzido por um sistema de análise não comprova, por si só, que existe uma vulnerabilidade. Resultados incorretos, duplicados ou sem impacto demonstrável também podem ser enviados como se fossem descobertas confirmadas.
Quando esse tipo de relato se acumula, as equipes responsáveis precisam investir tempo na triagem e na verificação de informações que podem não levar a uma correção. Isso pode atrasar a avaliação de falhas reais e dificultar a priorização dos riscos mais graves. A suspensão busca conter esse volume enquanto o Google reorganiza a forma de receber e avaliar os relatos.
Para aumentar a utilidade de uma submissão, pesquisadores podem descrever de maneira clara as condições necessárias para reproduzir o problema, indicar o componente afetado e demonstrar qual consequência de segurança é possível. Também é recomendável explicar os limites do teste realizado e diferenciar uma hipótese de um comportamento confirmado.
Relatórios bem documentados facilitam a validação e ajudam a equipe técnica a entender a gravidade do caso. Uma prova de conceito segura, acompanhada de passos reproduzíveis e sem acesso a dados de terceiros, pode esclarecer o impacto sem ampliar o risco durante a investigação.
A suspensão não significa que o Google deixou de buscar vulnerabilidades em software aberto. A empresa afirma que pretende reformular essa parte do OSS VRP e se comprometeu a apresentar uma atualização no primeiro trimestre de 2027. Até lá, pesquisadores devem considerar os outros canais disponíveis e verificar se seus achados se enquadram nos respectivos escopos.
Para quem trabalha com segurança de projetos de código aberto, a mudança também reforça a importância de escolher o programa correto antes de enviar uma descoberta. Identificar o produto, avaliar o impacto e consultar as regras de elegibilidade reduz encaminhamentos inadequados e pode tornar o processo de análise mais eficiente para todas as partes.