O Google suspendeu o programa de recompensas por vulnerabilidades em seus projetos de código aberto, o OSS VRP, a partir de 1º de outubro. A pausa vale para os relatórios de falha nesses produtos e para os pagamentos associados, e a empresa prometeu rever a decisão no primeiro trimestre de 2027.
A suspensão não atinge os demais programas. Relatórios de comprometimento da cadeia de suprimento seguem elegíveis, assim como o programa voltado à nuvem e o de recompensa por correções, que continuam recebendo e pagando normalmente.
O motivo apresentado é o volume. Segundo o aviso, houve um aumento expressivo de submissões automatizadas, e a grande maioria delas não era válida.
Vale a distinção: a empresa falou em envios automatizados, sem atribuir o problema a ferramentas de inteligência artificial. A associação com relatórios gerados por IA circula desde março, quando a equipe do programa reclamou de material de baixa qualidade com detalhes de falha inventados, mas não é o que o comunicado afirma.
Perderam a elegibilidade 26 repositórios principais, entre eles Go, Angular, Flutter, Bazel e Protocol Buffers, além de outros 47 classificados como importantes.
Com isso saem da tabela os pagamentos que iam de 500 a 7.500 dólares nos projetos principais e de 101 a 3.133,70 dólares nos demais.
O anúncio foi publicado no perfil da empresa no X em 1º de outubro, um dia depois de o aviso aparecer no repositório de regras do programa no GitHub.
