O que aconteceu com o HackerOne segundo a comunidade de hackers

Contexto e era dourada

Joel Margolis, engenheiro de segurança e bug bounty hunter desde 2017, relata a trajetória de declínio do HackerOne sob a perspectiva de quem atuou tanto como pesquisador quanto como gestor de programas de bug bounty. O HackerOne foi fundado em 2011 por Jobert Abma e Michiel Prins para criar um espaço seguro onde hackers éticos pudessem reportar vulnerabilidades a empresas sem risco legal, sendo pagos por isso. Entre 2017 e 2020, a plataforma viveu sua era dourada com os Live Hacking Events (LHEs) - eventos exclusivos onde os melhores pesquisadores do mundo se reuniam para caçar vulnerabilidades críticas em poucos dias, gerando mais reports de alto impacto do que um programa inteiro receberia em um ano.

O problema do lucro

Por volta de 2020-2021, o HackerOne precisou enfrentar a questão da monetização. A empresa havia levantado $160M em rodadas de venture capital entre 2014 e 2022, operando basicamente com dinheiro de investidores. A pressão dos VCs levou a uma mudança de paradigma: o foco saiu dos hackers e foi para vendas e aquisição de clientes. O modelo de comissão de 20% sobre bounties foi substituído por contratos anuais baseados em capacidade, com descontos de 30-60% para contratos multi-anuais. O CEO fundador foi substituído por um CEO corporativo.

As consequências foram degradação para todos: triagers experientes saíram por burnout e baixa remuneração, hackers enfrentaram triagem de pior qualidade e excesso de programas de baixa qualidade, e clientes viram a qualidade dos reports cair enquanto custos subiam. A plataforma em si estagnou tecnicamente.

A era da IA e a "enshittification"

Com o surgimento dos LLMs, o HackerOne tinha um backlog de 10 anos de pedidos de funcionalidades e uma ferramenta poderosa para resolvê-los. Em vez disso, criou o "Hai", um wrapper sobre OpenAI com pouca utilidade real. Em 2024, Marten Mickos (CEO por quase 10 anos) foi substituído por Kara Sprague, ex-CPO da F5. A empresa começou a se reposicionar como "CTEM" (Continuous Threat Exposure Management), abandonando a identidade de bug bounty.

A controvérsia dos dados de pesquisadores

Em fevereiro de 2026, o hacker zseano notou uma onda de demissões no HackerOne, o que levou à descoberta de que os Termos de Serviço haviam sido atualizados para permitir o uso de reports no treinamento de modelos de IA. O co-fundador Alex Rice fez controle de danos, negando o uso de dados de pesquisadores para treinamento. Meses depois, porém, foi revelado que todos os reports passavam por um sistema de IA que "aprendia" com os resultados - armazenando rejeições e usando-as para influenciar decisões futuras. O HackerOne argumentou que isso não era "treinamento" no sentido técnico, mas na prática o sistema usava dados de pesquisadores para melhorar seu comportamento.

Em junho, o produto "HackerOne Continuous Testing" foi lançado com linguagem que explicitamente mencionava o uso de "12+ anos de dados de vulnerabilidades do mundo real" para afiar os testes. A página foi rapidamente alterada após questionamentos.

Conclusão do autor

Margolis conclui que o HackerOne perdeu sua identidade e valores originais. Aos hackers, diz que conheçam seu valor. Às empresas, afirma que o custo de tokens de IA para construir uma plataforma interna é menor que um ano de HackerOne. E a quem quiser empreender: o mercado está pronto para disrupção.