Intel deixa de pagar recompensas por bugs

A Intel suspendeu o seu programa de recompensas por bugs de segurança, lançando preocupações sobre o futuro das revelações de vulnerabilidades graves.

A Intel suspendeu o seu programa de bug bounty, uma iniciativa que chegou a pagar até 100 mil dólares pela descoberta de falhas de segurança críticas. O programa foi substituído por um novo sistema de divulgação responsável através da plataforma Intigriti, mas sem qualquer recompensa financeira para os investigadores.

Lançado em 2017 e aberto a todos os investigadores desde 2018, o programa abrangia software, hardware, firmware e até projectos open-source considerados de importância crítica. As recompensas variavam entre 250 e 100 mil dólares, dependendo da gravidade e qualidade do relatório. A própria Intel já tinha revelado que uma parte significativa das vulnerabilidades corrigidas ao longo dos anos foi identificada através desta iniciativa.

Embora não tenha explicado os motivos para esta mudança de atitude, a suspensão surge numa altura em que a indústria enfrenta uma explosão de relatórios de segurança devido à utilização de ferramentas de inteligência artificial. Vários projectos open-source têm relatado um aumento significativo no número de vulnerabilidades reportadas, incluindo muitos relatórios de baixa qualidade manifestamente feitos por AI, que têm sobrecarregado as equipas.

Apesar do fim das recompensas, os investigadores continuam a poder reportar vulnerabilidades à Intel através do novo programa, embora se torne bastante dúbio se se sentirão incentivados a fazê-lo sem a compensação monetária. Será mais provável que optem por revelá-los apenas em eventos do tipo Pwn2Own, onde obtenham maior visibilidade e potenciais prémios.