Durante anos, a principal discussão da cibersegurança no Brasil foi convencer empresas de que investir era necessário. Essa fase terminou.
Em cinco anos, o percentual de empresas que investem em segurança da informação saltou de 72% para 96%, segundo o Brazilian CyberSecurity Index. Hoje, a pergunta já não é se vale investir, mas se o modelo de proteção construído até aqui continuará funcionando em um cenário transformado pela inteligência artificial.
Os sinais mostram que não.
A inteligência artificial ampliou exponencialmente a capacidade de descobrir vulnerabilidades e, ao mesmo tempo, tornou muito mais difícil separar colaboração legítima de ruído. Isso colocou sob pressão justamente um dos mecanismos mais importantes para fortalecer a segurança digital: a colaboração entre empresas e pesquisadores independentes.
Essa relação, na verdade, sempre foi delicada.
Durante muito tempo, um pesquisador que identificava uma vulnerabilidade em um sistema corporativo simplesmente não sabia para quem reportá-la. Sem canais oficiais, uma tentativa de ajudar frequentemente era interpretada como ameaça. Já do outro lado, as empresas também não tinham processos claros para receber, validar e responder a esse tipo de contato.
O mercado amadureceu, mas essa relação evoluiu menos do que deveria.
Hoje, o CISO brasileiro administra um ambiente muito mais complexo. A responsabilidade aumentou, a superfície de ataque cresceu e a pressão por resultados é permanente. Ao mesmo tempo, o orçamento perdeu fôlego: boa parte das empresas pretende manter investimentos praticamente estáveis nos próximos anos.
Nesse contexto, um relatório de vulnerabilidade enviado por um pesquisador externo deixa de ser apenas uma questão técnica. Ele rapidamente se transforma em uma questão de gestão, reputação e governança.
Quando não existe um protocolo claro, todos perdem.
O pesquisador corre o risco de ser ignorado ou tratado como suspeito. A empresa desperdiça uma oportunidade de corrigir uma falha antes que ela seja explorada por um cibercriminoso. E o responsável pela segurança passa a administrar um problema que poderia ter sido evitado.
A inteligência artificial tornou essa fragilidade ainda mais evidente.
Ferramentas generativas passaram a permitir a produção de relatórios de vulnerabilidade em escala inédita. O custo para gerar uma submissão caiu drasticamente. O volume aumentou. A qualidade média, porém, caiu na mesma proporção.
Os primeiros efeitos já apareceram nos principais programas internacionais de bug bounty. O projeto curl, um dos softwares mais utilizados da internet, documentou que menos de 5% dos relatórios recebidos passaram a ser considerados válidos. O restante era composto por submissões irrelevantes ou produzidas sem critério, em grande parte impulsionadas pelo uso de IA. Em janeiro deste ano, o projeto encerrou seu programa de bug bounty. Poucos meses depois, a Nextcloud tomou a mesma decisão pelo mesmo motivo.
O diagnóstico implícito em todos esses movimentos é semelhante. A crise não é da inteligência artificial. É do modelo de relacionamento construído antes dela.
A IA apenas acelerou um problema que já existia: sistemas desenhados para um volume de colaboração humana agora precisam lidar com uma escala de automação para a qual nunca foram preparados.
O Brasil ainda tem tempo para evitar esse mesmo problema.
Os dados do Brazilian Security Index mostram que empresas mais maduras em cibersegurança são também aquelas que mais utilizam programas estruturados de bug bounty. Não porque terceirizam sua segurança, mas porque reconhecem um limite inevitável dos controles internos.
Nenhum time conhece melhor um ambiente do que quem o construiu. Mas justamente por isso também compartilha pressupostos, padrões de pensamento e pontos cegos. O olhar externo amplia a capacidade de encontrar aquilo que o próprio processo interno deixou escapar.
Esse princípio continua válido na era da inteligência artificial.
O que muda é que programas de bug bounty deixam de competir pela quantidade de submissões e passam a competir pela qualidade da relação construída com a comunidade de pesquisadores.
Ter um programa aberto já não basta.
Será cada vez mais importante oferecer critérios claros de escopo, processos consistentes de triagem, regras transparentes de remuneração e canais de comunicação capazes de gerar confiança para ambos os lados.
Isso porque a diferença entre um relatório que fortalece a segurança e um ruído que consome recursos não está, necessariamente, no pesquisador, mas no protocolo.
Essa discussão ganha ainda mais importância porque a adoção de inteligência artificial pelas empresas brasileiras está apenas começando. Novos sistemas estão entrando em produção rapidamente, criando superfícies inéditas de ataque enquanto equipes de segurança ainda aprendem a avaliá-las.
Nesse ambiente, a validação externa passa a funcionar como uma camada adicional de inteligência ao ampliar a capacidade de identificar vulnerabilidades justamente onde processos internos ainda não conseguiram olhar.
Essas são as regras que mudaram. A inteligência artificial tornou abundante a descoberta de vulnerabilidades. Agora, o diferencial competitivo é identificar, mais rápido que os concorrentes, quais descobertas merecem atenção.
CAIO TELLES | BRUNO TELES | são cofundadores da BugHunt, primeira plataforma brasileira de bug bounty. Os dados citados são do Brazilian Security Index, série histórica conduzida pela BugHunt entre 2021 e 2026 com aproximadamente 240 empresas de tecnologia no Brasil.
