JustCyber Bounty

O Bounty é a plataforma de programa de recompensa e de divulgação coordenada (VDP) dentro do tenant. A empresa publica um programa com política, tabela de recompensa e escopo declarado ativo a ativo (in-scope e out-of-scope, com consentimento carimbado). O pesquisador envia o relatório com prova de conceito obrigatória. A partir daí, uma máquina de estados com arestas fixas conduz o caso: novo, em revisão de IA, precisa de informação, pendente da empresa, triado, retestando, resolvido, divulgação coordenada — e os terminais duplicado, não aplicável, informativo e spam. Transição fora do grafo é recusada com conflito, não silenciosamente aceita.

O porto-seguro é aplicado antes de persistir, não depois. Se o ativo afetado casa uma regra out-of-scope, a submissão é rejeitada; se não casa nenhuma regra in-scope com consentimento registrado, também; e programa sem escopo declarado não aceita submissão nenhuma. O campo do ativo afetado é obrigatório justamente para fechar o atalho de 'casar por tipo'. Testar fora do escopo não tem autorização expressa — logo não carrega o porto-seguro, e o sistema diz isso na cara.

A triagem de IA é recomendação, nunca decisão. Ela grava veredito sugerido, severidade sugerida, um score determinístico de AI slop e o candidato a duplicata, e move o caso apenas de 'novo' para 'em revisão de IA'; quem decide o resto é a pessoa com escopo de triagem. Como uma prova de conceito costuma carregar exploit, dump e credencial de terceiro, ela é classificada como dado sensível: o envio ao modelo é bloqueado por padrão e só passa quando o programa declara explicitamente a aprovação. Pelo mesmo motivo, quem tem apenas permissão de leitura não enxerga a PoC de outro pesquisador — só o autor ou quem tem autoridade de triagem — e o que sobra passa por mascaramento de PII e bloqueio de segredo antes de ser exibido.