IA não diminuiu a relevância do bug bounty, fortaleceu o valor da inteligência humana

Por Bruno Telles e Caio Telles, fundadores da BugHunt

Nos últimos dois anos, ganhou força no setor de segurança da informação a expectativa de que a inteligência artificial reduziria o espaço do pesquisador humano. Ferramentas capazes de varrer sistemas, aplicativos e infraestrutura em escala, além do uso dessas tecnologias por cibercriminosos em ataques em massa, levaram muita gente a concluir que o bug bounty, modelo que remunera hackers éticos por relatar falhas reais antes que sejam exploradas, estaria entre os primeiros afetados.

Os dados da nossa plataforma, que acompanha a atividade de mais de 27 mil hackers, mostram que entre setembro de 2025 e setembro de 2026 o número de pesquisadores ativos, aqueles que enviaram ao menos um relatório de vulnerabilidade, cresceu 115% em relação aos 12 meses anteriores. Os novos cadastros subiram 44%, e a proporção de estreantes entre os pesquisadores ativos passou de 64% para 77,8%.

A atividade também ficou menos concentrada, com a fatia de relatórios enviada pelos 10% mais ativos caindo de 69,1% para 63,4%. A nossa leitura é que a IA encurtou o caminho entre fazer parte de uma comunidade de hackers e atuar de fato em um programa. Antes, uma parcela relevante de quem se cadastrava não completava o ciclo de buscar uma vulnerabilidade, documentar o achado e enviar o relatório, muitas vezes por falta de repertório técnico.

A tecnologia ajudou a vencer essa barreira, e a entrada de novos pesquisadores não diluiu a remuneração. O valor médio pago por recompensa subiu 17%, e o total cresceu 22,6%. Esse mesmo movimento fez com que, a partir de março de 2026, o número mensal de relatórios ficasse entre duas e quatro vezes acima da média do ano anterior, em um padrão consistente com o uso em massa de ferramentas de geração automatizada.

No mesmo período, os envios sem validade técnica quase dobraram e o spam mais que triplicou. Gerar relatórios ficou mais fácil, mas apontar uma possível falha não é o mesmo que comprovar que ela representa um risco real, e essa diferença está no centro da discussão sobre IA e cibersegurança. Com mais volume, filtrar passou a ser a parte principal do trabalho, o que inclui separar ameaça real de ruído, medir a eficiência de cada programa, direcionar a pesquisa para onde está o risco e conduzir a resolução das vulnerabilidades.

Essas etapas exigem um olhar humano cada vez mais especializado, e são elas que diferenciam a atuação do pesquisador. Nas empresas que não contam com esse olhar humano, a equipe interna acaba gastando tempo com o que não é ameaça ou deixando passar o que é. Por isso, em vez de reduzir a demanda por bug bounty, o avanço da IA tem levado mais empresas a investir no modelo, já que aumentou o que precisa ser validado.

Mesmo com muito mais envios passando pela triagem, a mediana do tempo até o fechamento caiu de 15,2 para 3,7 dias, e os relatórios aprovados também ficaram mais relevantes. Entre eles, a fatia classificada como crítica ou alta subiu de 58,2% para 68,5%, e a proporção com classificação técnica de gravidade preenchida corretamente passou de 45,2% para 61,0%. A IA está ampliando o acesso ao bug bounty e tornando os programas mais ágeis, mas não decide sozinha o que é ameaça. Quanto maior o volume de envios, maior a diferença entre ter ou não pesquisadores experientes no meio do caminho.

A discussão, portanto, não deveria ser sobre escolher entre inteligência artificial e hackers pesquisadores, mas sobre como unir a velocidade da tecnologia ao critério de quem sabe validar o que ela encontra. O futuro do bug bounty depende dessa combinação.

Bruno Telles e Caio Telles são engenheiros de computação, atuam há mais de quinze anos em segurança da informação e são fundadores da BugHunt, primeira plataforma de bug bounty do Brasil.