O mercado brasileiro de cibersegurança amadureceu em cinco anos. A relação com hackers precisa acompanhar

Dados de cinco edições do Brazilian CyberSecurity Index mostram um setor que cresceu em investimento e maturidade. Mas a ponte entre empresas e pesquisadores de segurança ainda é frágil. E a inteligência artificial tornou isso urgente

Por Caio e Bruno Telles

Quando começamos a acompanhar o mercado brasileiro de cibersegurança em 2020, havia um problema que ninguém nomeava com precisão. Pesquisadores encontravam vulnerabilidades reais em sistemas de empresas e não tinham para onde ligar. Do outro lado, as empresas recebiam esse contato como ameaça, não como contribuição. Sem protocolo, as opções eram poucas: o pesquisador desistia, a vulnerabilidade ficava exposta, ou o contato virava extorsão.

Não por maldade. Por ausência de estrutura.

Cinco anos de Brazilian CyberSecurity Index mostram que o mercado avançou mais do que qualquer projeção razoável teria previsto. Em 2021, 72% das empresas brasileiras investiam em cibersegurança. Hoje, 96%. O debate sobre se vale investir está encerrado. Mas o problema que ficou é mais sutil e mais difícil de resolver.

A relação entre empresas e pesquisadores de segurança ainda é frágil. E a inteligência artificial tornou isso urgente de um jeito que o setor ainda está processando.

O CISO no meio do fogo cruzado

Existe uma posição que concentra, ao mesmo tempo, pressão técnica, pressão orçamentária e pressão reputacional, e que raramente aparece nas discussões sobre maturidade de mercado. O CISO brasileiro de 2026 opera num ambiente em que 67% das empresas já investem em cibersegurança há mais de cinco anos, a cobrança por resultado cresceu proporcionalmente, e o orçamento ficou parado: 39% das empresas não planejam aumento de budget, outros 37% crescem no máximo 10%, o suficiente para cobrir a inflação.

O problema não é técnico. É político.

Quando uma vulnerabilidade é descoberta por um pesquisador externo e chega diretamente na caixa de entrada da empresa, sem mediação, o que deveria ser uma contribuição vira um incidente de gestão. A diretoria questiona como aquilo passou. O CFO pergunta se o investimento em segurança está funcionando. E o CISO, que não definiu as regras desse contato, absorve a consequência.

A alternativa sem mediação é pior. Pesquisadores que não encontram canal legítimo aprendem que a vulnerabilidade tem mais valor como moeda de pressão do que como relatório ignorado. Não é um problema de ética individual. É um problema de incentivos mal alinhados.

O que a IA fez com o bug bounty no mundo

A chegada da inteligência artificial ao ecossistema de cibersegurança criou um efeito que ninguém antecipou com clareza. Ferramentas de IA generativa passaram a permitir que qualquer pessoa produza relatórios de vulnerabilidade em escala industrial. Volume alto, custo marginal próximo de zero, qualidade próxima de ruído.

O maintainer do projeto curl documentou que a taxa de aceitação de reports no programa chegou a menos de 5%, ou seja, mais de 95% das submissões eram inválidas, de baixa qualidade ou irrelevantes. O projeto encerrou seu programa de bug bounty em janeiro de 2026. A plataforma Nextcloud chegou à mesma conclusão em abril, encerrando o seu após anos ativo pela mesma razão: impossível separar contribuições reais de automações sem critério.

O Internet Bug Bounty, programa em operação desde 2012 que distribuiu mais de 1,5 milhão de dólares em recompensas a pesquisadores, pausou os pagamentos em abril de 2026. O argumento foi direto: a IA está expandindo a descoberta de vulnerabilidades mais rápido do que a capacidade de remediação consegue acompanhar.

O efeito para pesquisadores legítimos é duplamente prejudicial. Seus reports competem com um volume de ruído que sobrecarrega os times de triagem. Um pesquisador relatou publicamente que descobriu duas vulnerabilidades sérias, recebeu confirmação com CVEs, viu as correções sendo aplicadas, e ficou meses sem receber o pagamento de US$ 8.500 ao qual tinha direito, porque a plataforma simplesmente parou de responder. Como ele resumiu: quando pesquisadores são ignorados mesmo depois que CVEs são emitidos e as correções enviadas, isso compromete a confiança no modelo inteiro.

A crise não é da ferramenta. É do modelo sem intermediação.

O que o mercado global está tentando reparar

A resposta das grandes plataformas ao caos de reports gerados por IA revela onde o problema realmente está. Quando uma das maiores plataformas do setor lançou seu sistema de agentes de IA para triagem, pesquisadores reagiram imediatamente questionando se suas submissões históricas estavam sendo usadas para treinar os modelos. A reação foi imediata e dura: 'Estamos literalmente treinando nosso próprio substituto.' Outro foi mais direto: 'Quando hackers de chapéu branco sentem que o sistema está contra eles, o apelo ao lado obscuro vira uma questão de sobrevivência, não de ética.'

A CEO da plataforma precisou se pronunciar publicamente para garantir que os dados de pesquisadores não eram usados para treino de modelos. A mesma plataforma lançou, em janeiro de 2026, um framework de proteções legais específicas para pesquisadores que testam sistemas de IA de boa-fé. Uma iniciativa legítima que, ao mesmo tempo, reconhece que as regras do jogo mudaram e que o modelo de confiança precisa ser reconstruído com instrumentos formais.

O diagnóstico implícito nessas movimentações é sempre o mesmo: sem protocolo claro, sem mediação confiável e sem alinhamento de incentivos, a relação entre pesquisadores e empresas se degrada. A IA acelerou esse processo. Não o causou.

Por que o Brasil tem uma janela específica

O Brazilian Security Index 2026 mostra que 56% das empresas brasileiras com alta maturidade em cibersegurança são promotoras ativas do modelo de bug bounty. Não é lealdade à ferramenta. É reconhecimento de que ela resolve algo que o controle interno não resolve.

Uma operação de segurança consolidada, com pentest, time estruturado e processos de revisão rodando, ainda tem um ponto cego. O que o time interno não viu é, por definição, o que o time interno não viu. A validação externa, conduzida por pesquisadores com formações e experiências distintas, aumenta a probabilidade de capturar vetores que o controle interno assumia como cobertos, mas nunca testou com perspectiva de fora.

Com a IA gerando volume industrial de reports de baixa qualidade, o diferencial não está em ter um programa aberto. Está em ter um programa com triagem estruturada, escopo claro, regras de remuneração transparentes e um canal que o pesquisador legítimo reconhece como sério. A diferença entre receber um relatório de vulnerabilidade como contribuição ou como ruído não é o pesquisador. É o protocolo.

O que o próximo ciclo vai exigir

Sessenta e três por cento das empresas brasileiras pretendem adotar inteligência artificial nos próximos dois anos. A maioria ainda está compreendendo os riscos. Isso cria uma janela de exposição muito específica: novos sistemas entrando em produção, nova superfície sendo criada, e times de segurança ainda calibrando seus critérios para avaliar esses ambientes.

Relatórios de vulnerabilidade em sistemas de IA cresceram mais de 200% em 2025, com prompt injection subindo 540%. Não são ameaças hipotéticas. São vetores ativos, em produção, em empresas que ainda não terminaram de entender o que adotaram.

A validação externa contínua, com incentivo alinhado à descoberta real e não ao volume de submissões, é exatamente o que esse ambiente demanda. Não como substituto das outras camadas de cibersegurança, mas como o que fecha o ciclo: o olhar de fora sobre o que foi atualizado no último release, sobre a superfície que cresceu com a última integração, sobre o que o time interno ainda não mapeou porque ainda não existia três meses atrás.

O mercado brasileiro de cibersegurança chegou a 2026 com maturidade suficiente para fazer essa pergunta com seriedade. Quem está exposto e ainda não foi testado por ninguém de fora?

Quem responde antes opera com clareza. Quem responde depois, opera por reação.

Caio e Bruno Telles são cofundadores da BugHunt, primeira plataforma brasileira de bug bounty.