A IA começou a “explorar o sistema”: Node.js foi forçado a suspender recompensas devido a relatórios falsos de vulnerabilidades

A IA consegue escrever código, revisar código, e agora também consegue gerar relatórios de vulnerabilidades falsos.
Em 13 de abril, a HackerOne oficialmente suspendeu o “Programa de Recompensas por Vulnerabilidades na Internet” (IBB), que operava há 14 anos, e não aceita mais novas submissões de vulnerabilidades.
A razão aparente é um ajuste na estratégia da plataforma, mas a verdadeira causa é uma só: relatórios falsos gerados por IA sobrecarregaram os mantenedores.
A HackerOne afirmou: “Ferramentas de IA aceleram a descoberta de vulnerabilidades muito além da velocidade de correção, e a plataforma está inundada por muitos relatórios de baixa qualidade, falsos ou até falsificados, quebrando o equilíbrio da comunidade de código aberto.”
E o primeiro a sofrer foi o Node.js.
O site oficial do Node.js anunciou posteriormente: “Devido à suspensão do programa de recompensas da HackerOne, o projeto deixará de pagar recompensas pelos relatórios de vulnerabilidades.”
Como um projeto de código aberto movido por voluntários da comunidade, o Node.js não possui um orçamento próprio para manter um fundo de recompensas, e com a fonte de financiamento externa cortada, as recompensas simplesmente pararam.
Na verdade, antes mesmo da suspensão oficial pela HackerOne, o Node.js já havia passado por uma rodada de ajustes.
A empresa de segurança Socket apontou que o Node.js havia aumentado significativamente o limite de submissões, mas isso não conseguiu resistir à enxurrada de ferramentas de IA — cada relatório recebido exigia que os voluntários gastassem muito tempo verificando, e nove em cada dez eram gerados por IA.
Além disso, o Node.js não foi o primeiro a cair.
Em janeiro deste ano, o criador do cURL, Daniel Stenberg, anunciou a suspensão do programa de recompensas por vulnerabilidades, com a mesma justificativa: em uma semana, a equipe recebeu 7 relatórios “falsos” gerados por IA em apenas 16 horas, com linguagem aparentemente rigorosa e estrutura completa, parecendo legítimos, mas após verificação manual, eram lixo.
Ele chamou esse tipo de conteúdo de “AI Slop” — lixo redundante que parece razoável, mas na verdade é inútil.
A coisa absurda nisso tudo é que: o mecanismo de recompensas por vulnerabilidades nasceu para incentivar pesquisas de segurança de alta qualidade com dinheiro de verdade, mas a IA reduziu a barreira para submissão a zero — rodando uma varredura no código com IA, gerando dezenas de relatórios que parecem legítimos, enviando-os de olhos fechados, e se uma dessas for “acertada”, o autor ganha.
Os mantenedores estão sendo afogados em relatórios lixo, enquanto os verdadeiros problemas de segurança nem têm tempo de revisar.