Pagamentos do Microsoft Bug Bounty atingem recorde de US$ 20 milhões

Os pagamentos do programa de recompensas por bugs da Microsoft atingiram um recorde de 20 milhões de dólares durante o último ano do programa da empresa, à medida que mais pesquisadores de segurança enviaram vulnerabilidades em tecnologias de cloud, IA e de código aberto.

A empresa concedeu mais de 20 milhões de dólares por meio dos seus programas de recompensas entre 1 de julho de 2025 e 30 de junho de 2026. Um total de 562 pesquisadores receberam pagamentos, o que resulta numa recompensa média de aproximadamente 35.000 dólares por pesquisador.

A Microsoft distribuiu cerca de 3 milhões de dólares a mais do que no ano anterior. No entanto, o pagamento médio por pesquisador caiu de aproximadamente 49.000 para 35.000 dólares.

A média mais baixa não indica redução no investimento em pesquisa de segurança. Pelo contrário, a Microsoft aceitou relatórios de um número maior de pesquisadores e expandiu os tipos de vulnerabilidades elegíveis para recompensas.

Zero Day Quest impulsiona mais relatórios de vulnerabilidades

O Zero Day Quest da Microsoft contribuiu significativamente para o total recorde de pagamentos.

Os pesquisadores enviaram quase 700 relatórios de vulnerabilidades através da iniciativa e receberam 2,3 milhões de dólares em recompensas. Participantes de 20 países investigaram problemas de segurança de alta prioridade que afetam as plataformas de cloud e IA da Microsoft.

O programa ajudou a Microsoft a atrair pesquisadores com diferentes formações técnicas, ao mesmo tempo que direcionou a atenção para produtos que poderiam gerar riscos de segurança generalizados.

O Zero Day Quest também deu aos pesquisadores uma forma estruturada de partilhar descobertas diretamente com a Microsoft antes que os atacantes pudessem explorar as vulnerabilidades.

Microsoft expande o escopo do seu programa de recompensas por bugs

A Microsoft também ampliou os seus programas de recompensas para além dos alvos tradicionais de produtos e serviços.

Os pesquisadores puderam enviar vulnerabilidades encontradas em projetos de código aberto, componentes de terceiros e serviços de cloud adicionais da Microsoft. Estas mudanças geraram mais de 300 relatórios que não teriam sido elegíveis segundo as regras anteriores.

A Microsoft pagou mais de 800.000 dólares por vulnerabilidades abrangidas pelo escopo expandido.

As regras de elegibilidade mais amplas refletem a forma como os produtos modernos da Microsoft dependem de bibliotecas externas, software de código aberto e serviços de cloud interligados. Uma falha num componente pode afetar vários produtos, mesmo quando a Microsoft não criou o código original.

Ferramentas de IA aumentam as submissões de recompensas por bugs

A Microsoft atribuiu parte do crescimento das submissões ao uso de ferramentas de IA pelos pesquisadores durante a descoberta de vulnerabilidades.

A IA pode ajudar os pesquisadores a analisar código, identificar comportamentos invulgares e testar potenciais pontos fracos de segurança de forma mais rápida. Também pode reduzir as barreiras técnicas para quem entra nos programas de recompensas por bugs.

No entanto, o aumento de relatórios assistidos por IA cria um novo desafio para as equipas de segurança. As empresas têm de processar mais submissões, confirmar quais os relatórios que representam vulnerabilidades reais e separar descobertas críticas de relatórios de baixo impacto ou duplicados.

A Microsoft já reconheceu que pode ter dificuldades em acompanhar bugs descobertos pelo Claude Mythos, mostrando como os sistemas de IA conseguem identificar falhas mais rapidamente do que os programadores conseguem investigá-las e corrigi-las.

O número crescente de submissões está a alterar a forma como as empresas de tecnologia estruturam os seus programas de recompensas.

O GitHub alterou recentemente a sua estrutura de pagamento de recompensas por bugs para oferecer recompensas maiores e benefícios adicionais para investigação de segurança valiosa.

A Microsoft também está a fortalecer outras partes da sua cadeia de fornecimento de software. A empresa reduziu recentemente a validade das chaves de API do NuGet para limitar os danos causados por credenciais de publicação roubadas ou expostas.