O Google mudou de novo a tabela do Chrome VRP, o programa que paga pesquisadores por falhas de segurança no navegador. Na terça-feira (13), a empresa subiu o valor base para falhas de memória de US$ 500 para US$ 2 mil, cerca de R$ 10 mil. É um recuo parcial: em abril, o Google tinha cortado os pagamentos padrão, e pesquisadores relataram recompensas até dez vezes menores. Mesmo com o aumento, os valores ainda não voltaram ao que eram antes de abril.
O pano de fundo é a inteligência artificial. Agentes que leem código e geram relatórios em minutos multiplicaram o volume de envios aos programas de recompensa, e boa parte chega sem demonstrar ataque real ou com dados faltando. No começo do mês, o Google suspendeu temporariamente o envio de falhas ao seu programa para software de código aberto (OSS VRP), alegando excesso de relatórios gerados por IA.
A nova tabela
No Chrome, as regras novas tentam separar o relatório útil do automático. A documentação do programa avisa que envio sem os requisitos básicos recebe valor abaixo do padrão, qualquer que seja a categoria da falha. Para quem entrega trabalho completo, os tetos ficaram assim:
- falhas nos processos de navegador, GPU e rede: até US$ 20 mil;
- processo de renderização: até US$ 8 mil para corrupção de memória;
- motor V8: US$ 5 mil fixos para fuga da sandbox e US$ 4 mil para falha de lógica;
- falhas de gravidade média sem relação com memória: US$ 2 mil, se o relatório levar à correção;
- fuga de sandbox fora da categoria de memória: bônus de até US$ 20 mil.
O Google também trouxe de volta o bônus de US$ 2 mil para quem criar fuzzers novos, ferramentas que testam o navegador com entradas aleatórias em busca de travamentos. Os relatórios enviados depois de 30 de abril de 2026 que ainda estão na fila de avaliação já serão pagos pela tabela nova. A Apple enfrentou o mesmo problema em agosto e reagiu de outro jeito: limitou o número de denúncias abertas no programa.
