Número de hackers ativos mais que dobra com IA, diz BugHunt

RESUMO ＋

O número de pesquisadores ativos na BugHunt cresceu 115% entre setembro de 2025 e setembro de 2026, em comparação com o período anterior. A plataforma atribui parte dessa expansão à IA, que teria facilitado a entrada de novos participantes. O valor médio das recompensas subiu 17%, enquanto os pagamentos totais avançaram 22,6%. O levantamento também registra aumento de relatórios inválidos e spam.

O número de hackers que enviam relatórios de vulnerabilidades na BugHunt mais que dobrou em um ano. Segundo um levantamento interno da plataforma brasileira enviado com exclusividade à EXAME, a quantidade de pesquisadores ativos cresceu 115% entre setembro de 2025 e setembro deste ano, em comparação com os doze meses anteriores.

A companhia associa a expansão à inteligência artificial (IA), que, em sua avaliação, reduziu as dificuldades para começar a pesquisar falhas e documentar os resultados. Ao mesmo tempo, a tecnologia teria ampliado o volume de envios que precisam passar por uma avaliação humana.

O estudo acompanha a atividade de uma base de mais de 27 mil hackers cadastrados. Esse número corresponde ao universo de usuários da plataforma, e não à quantidade de pesquisadores ativos — definidos como aqueles que enviaram ao menos um relatório de vulnerabilidade no período.

A BugHunt atua no mercado de bug bounty, modelo no qual empresas oferecem recompensas a pesquisadores que identificam e reportam falhas de segurança dentro das regras de seus programas.

“Sempre tivemos uma comunidade grande, mas uma parte dela ficava parada na porta. Faltava repertório técnico para transformar curiosidade em relatório. A IA encurtou esse caminho”, afirma Caio Telles, cofundador da BugHunt.

Mais pesquisadores chegam ao primeiro relatório

Os novos cadastros na plataforma cresceram 44%. Entre os pesquisadores ativos, a participação dos estreantes — aqueles que enviaram seu primeiro relatório — passou de 64% para 77,8%.

A atividade também ficou menos concentrada nos participantes mais frequentes. A parcela dos relatórios enviada pelos 10% de hackers mais ativos caiu de 69,1% para 63,4%.

Para a BugHunt, os indicadores sugerem que mais cadastrados conseguiram completar o caminho entre procurar uma vulnerabilidade, documentar o achado e submetê-lo à avaliação de uma empresa.

“Hoje mais gente consegue sair do cadastro e virar pesquisador ativo, e isso é bom para todo o mercado”, diz Caio.

As recompensas aumentaram junto com a atividade

A entrada de participantes foi acompanhada por uma alta nos pagamentos. O valor médio por recompensa cresceu 17%, enquanto o total distribuído avançou 22,6%, segundo a BugHunt.

As recompensas fazem parte do incentivo financeiro à pesquisa de segurança. Os hackers éticos recebem pelos achados que atendem aos critérios dos programas, e não simplesmente pelo envio de um relatório.

Na avaliação de Bruno Telles, também cofundador da plataforma, a automação aumentou a necessidade de profissionais capazes de verificar se uma vulnerabilidade é real e acompanhar seu tratamento.

“A IA gera volume, e volume precisa de gente que saiba separar achado real de ruído e levar a correção até o fim”, afirma.

Mais relatórios também significam mais ruído

A partir de março de 2026, a BugHunt identificou um padrão que considera compatível com a chegada de relatórios gerados de forma automatizada. O volume mensal de envios ficou entre duas e quatro vezes acima da média do ano anterior.

No mesmo levantamento, o número de relatórios sem validade técnica quase dobrou e o volume de spam mais que triplicou. A plataforma relaciona esse movimento à automação, mas não informa qual proporção dos envios foi comprovadamente produzida por IA.

O aumento exige distinguir falhas que podem ser exploradas de relatos incorretos ou sem informação suficiente. É essa triagem que determina quais achados seguem para avaliação e tratamento.

“Quanto mais fácil fica gerar relatório, maior a diferença entre ter e não ter um time experiente no meio do caminho”, afirma Caio.

O tempo de fechamento dos relatórios caiu

Apesar do aumento de envios, a mediana do tempo até o fechamento de um relatório caiu de 15,2 para 3,7 dias, segundo a empresa.

Entre os relatórios aprovados, a participação daqueles classificados com gravidade crítica ou alta passou de 58,2% para 68,5%. Já a proporção de relatórios com a classificação técnica de gravidade preenchida corretamente subiu de 45,2% para 61,0%.

Os resultados mostram uma combinação de maior participação, mais envios inválidos e maior presença de achados graves entre os relatórios aprovados. Para os fundadores, isso reforça a importância de avaliar a qualidade do que chega às empresas.

“A IA está democratizando o acesso ao bug bounty e deixando os programas mais eficientes, mas não decide sozinha o que é ameaça”, afirma Caio.

Perguntas frequentes

O que é bug bounty?

É um programa de recompensas para pesquisadores que encontram e reportam vulnerabilidades de segurança, conforme as regras definidas pela empresa responsável pelo programa.

O número de hackers cresceu 115% no Brasil?

O crescimento de 115% se refere aos pesquisadores ativos na BugHunt, não ao conjunto de hackers do país. A plataforma considera ativo quem enviou ao menos um relatório de vulnerabilidade no período analisado.

Qual período foi analisado?

A BugHunt analisou a atividade entre setembro de 2025 e setembro de 2026 e comparou os indicadores com os doze meses anteriores.

As recompensas aumentaram?

Sim. Segundo o levantamento interno, o valor médio pago por recompensa cresceu 17%, e o total distribuído aumentou 22,6%.

A IA substituiu os pesquisadores?

A BugHunt interpreta os resultados como uma ampliação da participação e da necessidade de validação humana. O estudo, porém, acompanha apenas sua plataforma e não demonstra isoladamente o efeito da IA sobre todo o mercado.