Google Pagou US$ 17,1 Milhões a Pesquisadores de Segurança em 2025
O Google divulgou os resultados de seu programa de recompensas por vulnerabilidades (VRP) para 2025, revelando um investimento recorde de US$ 17,1 milhões distribuídos a 747 pesquisadores de segurança independentes. Este valor representa um aumento de 40% em relação aos pagamentos do ano anterior, com a maior recompensa única atingindo US$ 250.000. O crescimento reflete a expansão e o amadurecimento do ecossistema de caça a bugs, além da priorização estratégica do Google em proteger seus ecossistemas cada vez mais complexos.
A grande novidade do relatório é a formalização de dois novos braços do VRP. O primeiro é o AI Vulnerability Rewards, um programa dedicado a encontrar falhas em sistemas de inteligência artificial, um campo em rápida expansão e com riscos únicos. O segundo é o OSV-SCALIBR, focado em vulnerabilidades em dependências de software open source, reconhecendo que a segurança do Google também depende da integridade de milhares de projetos externos que utiliza.
Este nível de investimento demonstra several things. Primeiro, que a segurança por meio de bug bounties deixou de ser uma atividade periférica para se tornar um componente central da estratégia de defesa de grandes empresas de tecnologia. Segundo, que o Google está se antecipando a ameaças emergentes, especialmente no domínio da IA generativa, onde vazamentos de dados, prompt injection e ataques ao modelo são riscos novos e críticos.
Os números concretos têm um impacto direto no mercado de segurança cibernética:
- ▶A quantia paga atrai e retém talentos de elite no mundo da pesquisa de vulnerabilidades, criando uma carreira lucrativa e legítima.
- ▶A especialização em IA e open source direciona a atenção da comunidade para as superfícies de ataque mais relevantes e modernas.
- ▶A transparência do Google serve como benchmark para outras empresas, pressionando-as a aumentarem seus próprios orçamentos para recompensas.
A estratégia do Google é clara: externalizar a busca por falhas para uma comunidade global de especialistas, pagando por resultados em vez de sustentar uma equipe interna massiva. A criação de programas específicos para IA e open source mostra uma compreensão sofisticada de que a segurança não é mais apenas sobre servidores e aplicações web, mas sobre os modelos de machine learning e a integridade da cadeia de suprimentos de software. Esta abordagem proativa deve se tornar padrão na indústria.