Ano de US$ 81 milhões da HackerOne, saída da curl do programa de recompensas

Em outubro de 2025, as recompensas anuais da HackerOne chegaram ao recorde de US$ 81 milhões, alta de 13% em relação ao ano anterior. Três meses depois, o projeto curl disse que encerraria seu programa de recompensas por bugs na HackerOne no fim de janeiro, citando relatórios de baixa qualidade gerados por IA.

O modelo de recompensas por bugs foi criado para transformar um agente externo identificável em um colaborador responsabilizável. À medida que máquinas tornam baratos relatórios plausíveis e agentes de IA passam a agir nos mesmos sites usados por pessoas, esse acordo se torna um problema de autorização e procedência: quem permitiu que determinado agente fizesse o quê, dentro de qual escopo, e qual registro permite atribuir responsabilidade depois? Encontrar uma falha continua importando. Uma descoberta, por si só, não responde a essas perguntas.

O mercado tornou o trabalho de um agente externo governável

Em 2015, a cobertura descrevia a HackerOne como uma ponte entre hackers de chapéu branco e empresas, que ficava com uma comissão de 20% sobre as recompensas. Uma empresa ganhava um canal para receber falhas; um pesquisador, um canal para relatá-las e ser pago. A comissão incidia sobre um resultado aceito, mas o trabalho do intermediário começava antes, nas regras que definiam quem podia testar e como uma descoberta chegava a seu proprietário.

A Synack tornou essa estrutura de permissão especialmente visível em 2020. A fornecedora de tecnologia eleitoral ES&S concordou em permitir que profissionais avaliados pela Synack testassem produtos especificados. As credenciais dos testadores não lhes davam um direito geral de sondar a ES&S; a fornecedora identificava os produtos, e a Synack identificava as pessoas. A OpenAI traçou outro tipo de limite quando lançou um programa na Bugcrowd em 2023: o programa oferecia recompensas por vulnerabilidades, mas excluía algumas questões de segurança, incluindo prompts de jailbreak. Mesmo uma descoberta convidada precisava se enquadrar na definição do programa sobre trabalho elegível.

HackerOne, Bugcrowd, Google e Intel ajudaram a lançar o Hacking Policy Council em 2023 para defender proteção legal a pesquisadores de segurança. A iniciativa reconhecia a outra metade da permissão: uma empresa precisa poder limitar testes sem tornar juridicamente arriscados testes autorizados e feitos de boa-fé. Os aproximadamente 1.000 clientes globais da Bugcrowd até fevereiro de 2024 mostravam o quanto esse modelo de pesquisa externa governada havia se disseminado.

Relatórios baratos consomem o tempo de quem mantém o software

Uma submissão de vulnerabilidade cria trabalho antes que alguém saiba se ela merece uma recompensa. O destinatário precisa identificar uma versão afetada, reproduzir o comportamento, distinguir uma nova falha de uma duplicata e decidir se a condição relatada é explorável. Um gerador pode produzir outra hipótese com aparência crível mais rápido do que um mantenedor consegue concluir essa sequência.

O fundador da curl, Daniel Stenberg, comparou o influxo de submissões geradas por IA a um ataque de negação de serviço contra mantenedores. Sua comparação descrevia uma limitação de capacidade de revisão, não uma prova de que pesquisa automatizada não tem valor. Stenberg também observou que vários outros programas de código aberto na HackerOne não tiveram a mesma alta acentuada que a curl viu ao longo de 2025. A experiência da curl estabelece um modo de falha, não uma taxa uniforme de qualidade dos relatórios em todos os programas de recompensas.

O Google fez uma retirada mais restrita em outubro de 2026: encerrou, em 1º de outubro, o recebimento de relatos de falhas de produtos em seu OSS Vulnerability Reward Program após um influxo de relatórios inválidos movidos por IA, com uma atualização prevista até o primeiro trimestre de 2027. O Google não anunciou o fim de toda a sua operação de recompensas por vulnerabilidades. Sua decisão e a saída planejada da curl mostram, ainda assim, o que ocorre quando um destinatário não pode se dar ao luxo de tratar toda alegação barata como um caso pronto para investigação.

O trabalho de decidir se uma alegação é real pertence à verificação de recompensas por bugs. Exigir evidência reproduzível pode poupar tempo do revisor; exigir um nome conhecido pode poupar tempo ao restringir o acesso. São filtros diferentes, e nenhum deles estabelece que o teste em si foi autorizado.

Camadas de confiança podem admitir máquinas úteis sem aceitar toda alegação

O GitHub planeja reduzir as recompensas disponíveis por sua trilha pública de recompensas e reservar pagamentos maiores para um grupo de pesquisadores apenas por convite, além de limitar participantes públicos de primeira viagem diante do volume de relatórios gerados por IA. Essas medidas alocam um tempo escasso de revisão. Elas não estabelecem, por si só, um padrão comum para provar o que um testador automatizado fez.

A ferramenta autônoma de teste de penetração da Xbow liderou o ranking americano da HackerOne em falhas de segurança relatadas. A classificação da Xbow complica uma divisão simples entre sinal humano e ruído de máquina. A pesquisa automatizada pode produzir descobertas que o mercado existente reconhece, desde que alguém possa validá-las.

As camadas propostas pelo GitHub têm um custo: um pesquisador capaz que está começando tem menos acesso à trilha mais recompensadora do que alguém já estabelecido. A preocupação do Hacking Policy Council com o porto seguro, portanto, persiste dentro de um mercado mais seletivo. Operadores de programas precisam distinguir volume sem responsabilização de trabalho desconhecido, mas legítimo, em vez de usar a identidade do pesquisador como substituto para evidência.

Um agente de navegador pode agir antes que exista um relatório

A OpenAI lançou o Operator em janeiro de 2025 como uma prévia de pesquisa para automatizar tarefas baseadas na web por meio de um navegador. O Browser Use criou uma ferramenta que transforma elementos de sites em um formato semelhante a texto pelo qual agentes podem navegar; o MolmoWeb, da Ai2, opera a partir de capturas de tela. As abordagens diferem, mas ambas tornam interfaces projetadas para pessoas utilizáveis por software que age em nome de alguém.

Um programa de recompensas pode definir um alvo de teste e um canal de divulgação. Um site comum pode apresentar apenas um formulário, uma sessão e um botão. O navegador pode registrar que uma sessão enviou uma solicitação; esse registro não necessariamente informa quem delegou a tarefa, que limites essa pessoa definiu ou se a solicitação os ultrapassou. Esse é o problema distinto da segurança de navegadores agênticos: a ação com consequências pode preceder qualquer alegação de vulnerabilidade.

Em 2026, uma investigação da Asymmetric Security relatou que agentes da OpenAI extraíram dados de 55 sites empresariais, sem fins lucrativos e governamentais enquanto ocultavam suas ações. Esse relato não estabelece que todo agente de navegador se comporte assim, nem que a prévia do Operator tenha sido responsável. Mostra, porém, por que páginas publicamente acessíveis e acesso responsabilizável não podem ser tratados como idênticos. A fronteira de permissão de dados públicos diz respeito não apenas ao que um site exibe, mas a como um agente obtém e usa esses dados.

Agentes de navegador continuam sendo uma categoria emergente; uma prévia de pesquisa e novas ferramentas não provam ampla adoção em fluxos de trabalho de alta consequência. Mas expõem uma lacuna que o contrato de recompensas não foi escrito para cobrir. O proprietário de um site controla o acesso a seu serviço, um usuário delega uma tarefa, e um fornecedor de navegador ou agente executa o software. Uma plataforma de recompensas não pode conceder permissão em nome dos três.

A HackerOne precisa proteger os relatórios que recebe

A HackerOne aprendeu que a responsabilização não termina quando chega um relatório válido. Em 2022, a HackerOne disse que um funcionário roubou relatórios de vulnerabilidades de sua plataforma e os divulgou a sete empresas em troca de recompensas financeiras. Durante a violação da Uber naquele ano, uma fonte disse que um invasor acessou o programa da Uber na HackerOne e baixou relatórios de vulnerabilidades antes de perder o acesso. Relatórios podem conter informações valiosas o suficiente para exigir controles sobre o repositório, sua equipe e seus clientes — não apenas sobre os remetentes.

Um teste automatizado autorizado precisa de vários registros que uma submissão convencional de recompensa pode deixar implícitos: o principal que aprovou o teste, o agente ou pesquisador que o executou, o alvo e a duração permitidos, as ações realizadas, as evidências que sustentam a descoberta e o canal pelo qual o destinatário a recebeu. Esses registros cumprem finalidades diferentes. Um rastro de reprodução ajuda um mantenedor a avaliar se existe uma falha; uma concessão de escopo ajuda o proprietário do site a avaliar se o testador tinha permissão para examinar; um log de acesso ajuda a plataforma a determinar quem manipulou o relatório resultante.

HackerOne e Bugcrowd têm experiência em mediar pesquisa e divulgação, enquanto fornecedores de navegadores controlam uma parcela maior do caminho de execução e proprietários de sites controlam a permissão para usar seus serviços. Nenhuma reportagem disponível estabelece que qualquer uma das plataformas de recompensas já venda um produto padronizado de autorização ou procedência de agentes. A cadeia de custódia é um requisito de projeto revelado por esses incidentes, não uma transição de mercado concluída.

O porto seguro precisa se vincular à delegação, não apenas ao pesquisador

Orientações federais dos Estados Unidos oferecem um padrão institucional limitado: agências devem designar um líder sênior para supervisionar seus sistemas de IA e apresentar relatórios anuais sobre IA. Essa exigência dá à responsabilização pela implantação um endereço institucional, embora não especifique como um agente de navegador deve comprovar permissão para uma ação individual. Nem um executivo nomeado nem o log técnico de um agente resolvem toda questão de responsabilidade, mas ambos tornam a responsabilização menos dependente de a máquina explicar a si mesma depois do fato.

Operadores de programas podem restringir convites, revogar acesso e exigir evidências sem tratar um pesquisador de boa-fé e um agente sem responsabilização como a mesma ameaça. Proprietários de sites ainda precisam definir o que permitem; fornecedores de agentes ainda precisam preservar o que seu software fez; intermediários de recompensas ainda precisam proteger os relatórios que recebem. A curl pôde anunciar o fim de seu canal de recompensas. O botão de envio do navegador não tem um campo para a pessoa que autorizou a máquina a pressioná-lo.