Google suspende programa de vulnerabilidades de código aberto por excesso de relatórios inválidos

O Google suspendeu temporariamente, até pelo menos o início de 2027, o recebimento de novos relatos de vulnerabilidades em programas de código aberto no OSS VRP, voltado a repositórios mantidos por organizações do Google no GitHub e a alguns projetos hospedados em outras plataformas.

A empresa informou que a pausa ocorreu após um aumento significativo de envios automatizados, cuja grande maioria não era válida. Relatos sobre a cadeia de fornecimento e solicitações já abertas não foram afetados.

Criado há quatro anos, o OSS VRP cobre vulnerabilidades em projetos de código aberto, configurações de repositórios, regras de controle de acesso, ações do GitHub, configurações de aplicativos e, historicamente, dependências de terceiros. As recompensas variam de US$ 500 para problemas classificados como importantes a mais de US$ 30 mil em casos de comprometimento da cadeia de fornecimento em projetos prioritários.

Segundo estudo de setembro de 2026 do Grupo de Inteligência contra Ameaças do Google, o número mensal de vulnerabilidades divulgadas dobrou de 5.045 em janeiro para 10.740 em agosto. A análise também apontou que a descoberta assistida por inteligência artificial encontrou proporcionalmente mais falhas moderadas e vulnerabilidades capazes de permitir execução remota de código. O Computer Weekly informou que o Google pretende atualizar o programa no primeiro trimestre de 2027.

Por que importa: A suspensão mostra que o aumento de relatórios produzidos com auxílio de inteligência artificial pode sobrecarregar programas de segurança quando a quantidade de envios inválidos cresce mais rápido que a capacidade de análise, dificultando a identificação das falhas realmente perigosas.

Reportagem original apurada por Computer Weekly.