A Intel suspendeu oficialmente o seu conhecido programa de recompensas para descoberta de falhas de segurança, substituindo os pagamentos que podiam atingir os 100.000 dólares por um sistema de divulgação de vulnerabilidades sem compensação financeira. Segundo a página do programa na Intigriti, a iniciativa passa a ser estritamente focada na comunicação responsável. Criada originalmente em 2017 apenas por convite e aberta ao público em 2018, esta estratégia chegou a ser responsável pela identificação de quase metade das falhas resolvidas pela empresa no decorrer de 2020.
O novo formato continua a permitir que os investigadores de cibersegurança reportem problemas descobertos no hardware, firmware, software e projetos de código aberto da marca, mas agora sem qualquer expectativa de pagamento. No sistema anterior, as recompensas estavam divididas em quatro níveis, começando nos 250 dólares para vulnerabilidades menores e subindo até aos 100.000 dólares. Até ao início de 2025, a empresa afirmava estar a avaliar critérios melhorados para as recompensas, o que tornou esta suspensão repentina numa surpresa para a comunidade de segurança informática.
O peso da inteligência artificial nos testes de segurança
Embora a marca não tenha apresentado um motivo oficial para o encerramento das recompensas financeiras, a tendência atual da indústria aponta o crescimento do uso de ferramentas de inteligência artificial como o fator mais provável. Diversos projetos de código aberto têm enfrentado uma verdadeira avalanche de relatórios de segurança gerados de forma automatizada, sobrecarregando a capacidade de resposta das equipas.
No caso do kernel Linux, o volume de vulnerabilidades reportadas disparou de cerca de 500 para perto de 2.000 por lançamento. O próprio criador do sistema, Linus Torvalds, referiu recentemente que a duplicação de avisos gerados por inteligência artificial tornou a gestão das listas de segurança uma tarefa quase impossível. O projeto Curl seguiu o mesmo caminho e desativou o seu próprio sistema de recompensas perante uma enchente de submissões automatizadas de baixa qualidade.
O panorama repete-se noutras plataformas do setor. Conforme indica a HackerOne, o seu programa Internet Bug Bounty também pausou as submissões no início do ano, justificando de forma explícita que a pesquisa assistida por inteligência artificial está a expandir rapidamente a descoberta de vulnerabilidades e a sobrecarregar o sistema. É altamente provável que a fabricante de processadores esteja a braços com um fluxo semelhante de relatórios automatizados, optando por travar os incentivos financeiros de forma a conseguir gerir o volume das submissões recebidas.
(TT)