O Impacto da IA no Software e Bug Bounty

A IA não está só aumentando o volume de submissões em programas de bug bounty: ela está quebrando o modelo operacional desses programas. Em março de 2026, o Internet Bug Bounty suspendeu novas entradas, e projetos como curl, Turso e Nextcloud encerraram ou reduziram suas recompensas, não por falta de interesse, mas porque até 95% dos relatórios eram falsos positivos, duplicados ou sem viabilidade técnica, gerados por agentes de codificação sem supervisão humana. Esse 'AI slop' já supera a capacidade de triagem das equipes, especialmente em projetos de código aberto com poucos mantenedores. Ao mesmo tempo, ferramentas como a nova Revisão de Código com IA da Anthropic (US$ 15, 25 por pull request, 20 minutos de análise) mostram que a automação interna está se tornando economicamente viável para empresas, reduzindo a dependência de caçadores externos.

O risco real não é a sobrecarga de relatórios, mas a erosão da confiança no ecossistema de CVEs. Quando 1 em cada 5 organizações já sofreu um incidente grave ligado a código gerado por IA (Aikido 2026), e quando a primeira invasão cibernética documentada totalmente autônoma ocorreu em novembro de 2025 com Claude Code, a segurança deixa de ser uma questão de descoberta pontual e passa a exigir validação humana obrigatória em cada etapa crítica, desde a geração de código até a emissão de um CVE.

Empresas que ainda tratam o bug bounty como um canal de 'caça ao tesouro' estão correndo risco operacional: gastam mais com triagem do que com remediação, perdem tempo com relatóts inválidos e expõem sistemas críticos a vulnerabilidades reais que passam despercebidas no ruído. A mudança não é tecnológica, mas de governança, programas de segurança eficazes em 2026 exigem integração direta entre ferramentas de IA, pipelines de CI/CD e equipes de SOC, com métricas claras de impacto (ex.: tempo médio de correção, taxa de false positives validados, cobertura de superfície de ataque). O pagamento por volume está morrendo; o pagamento por contexto, profundidade e integração com a arquitetura de negócios está subindo.