Por erickdevz — desenvolvedor full-stack, Viçosa/MG

Em janeiro de 2026, o curl encerrou um programa de bug bounty que rodava desde 2019. Em março, o coletivo Jazzband — que mantinha 84 projetos Python — foi descontinuado. O tldraw passou a fechar automaticamente todo pull request vindo de fora. O Ghostty adotou tolerância zero para submissões de IA de baixo esforço.

Nenhum desses projetos morreu por falta de gente querendo contribuir. Morreram pelo excesso.

Vale entender por quê, porque o diagnóstico correto aponta para uma solução bem diferente da que a indústria está construindo.

O filtro que ninguém sabia que existia

Mitchell Hashimoto, criador do Ghostty, escreveu a frase mais precisa sobre isso quando publicou a nova política de contribuições do projeto: a programação agêntica eliminou a backpressure baseada em esforço que antes limitava contribuições de baixa qualidade.

Pense no que era necessário, até 2023, para abrir um pull request num projeto que você não conhecia. Clonar o repositório. Fazer ele compilar. Ler código o suficiente para descobrir onde a mudança encaixava. Rodar os testes. Entender por que o teste quebrou.

Ninguém desenhou isso como sistema de qualidade. Mas era um. O esforço funcionava como pedágio, e o pedágio garantia um piso: quem chegava até o PR quase sempre tinha entendido alguma coisa.

O pedágio sumiu. Gerar um patch que compila e passa no CI hoje custa alguns minutos e nenhuma compreensão. O piso de qualidade que existia como efeito colateral do esforço evaporou junto com o esforço.

A assimetria que quebra o sistema

Gerar código ficou dramaticamente mais barato. Revisar código não ficou mais barato coisa nenhuma.

Essa é a assimetria inteira, e ela é fatal em qualquer sistema onde a entrada é aberta. Os números do curl deixam explícito: em 2025, a taxa de relatórios de vulnerabilidade que se confirmavam reais caiu para menos de 5%. Nem um em vinte. Nos primeiros 21 dias de 2026, foram vinte submissões — sete numa única janela de dezesseis horas. Nenhuma real.

Uma nota honesta: o curl reabriu o programa cerca de um mês depois, quando a qualidade dos relatórios voltou a subir. E o que voltou não foi o slop — foram relatórios humanos, verificados, de alta qualidade. O que é justamente o ponto: o problema nunca foi a IA. Foi output sem revisão, com o esforço retirado.

E relatório de segurança é o caso mais cruel dessa assimetria, porque você não pode simplesmente ignorar. Descartar uma vulnerabilidade real tem custo catastrófico. Então cada relatório inventado precisa ser investigado com seriedade antes de ser descartado. O custo de gerar tende a zero; o custo de descartar com responsabilidade continua alto.

O Jazzband relatou que aproximadamente um em cada dez PRs gerados por IA atendia ao padrão do projeto. Os outros nove não são gratuitos — cada um consome atenção de mantenedor, atenção que já era o recurso mais escasso do open source antes de tudo isso começar.

Por que detectar IA é a solução errada

A reação natural do mercado foi construir detectores. Ferramentas que pontuam um PR pela probabilidade de ter sido gerado por modelo de linguagem.

Isso falha por dois motivos independentes, e ambos são fatais.

O primeiro é técnico. Detecção de texto gerado por IA não funciona de forma confiável, e não funciona cada vez menos conforme os modelos melhoram. Um detector com 5% de falso positivo aplicado a um projeto que recebe cem PRs por mês acusa cinco contribuidores humanos de fraude por mês. Basta um caso desses virar thread pública para o projeto perder mais do que ganhou.

O segundo é conceitual, e é o mais importante. Código gerado por IA não é o problema. Vários mantenedores que reclamam de slop usam assistentes de IA todo dia — e dizem isso abertamente. Um PR gerado por modelo, lido, entendido, testado e defendido por um humano é uma contribuição perfeitamente legítima. Um PR escrito à mão por alguém que não entende o que fez é lixo, mesmo sem uma linha de IA envolvida.

A variável que importa não é a origem do código. É se existe um humano que entende o que foi submetido.

O que os projetos já estão fazendo à mão

O detalhe mais revelador da pesquisa é o que as políticas escritas desses projetos realmente pedem.

O matplotlib exige que quem abre um PR explique por que aquela é a abordagem correta. Vários projetos rejeitam contribuições cujo autor não consegue responder perguntas sobre o próprio código quando questionado. A política do Ghostty gira em torno da capacidade do contribuidor de defender a mudança.

Nenhum deles está pedindo "não use IA". Estão pedindo prova de compreensão — só que aplicada manualmente, um PR de cada vez, gastando exatamente o recurso escasso que a política tentava proteger.

E é isso que os próprios mantenedores dizem estar faltando. Quando o tldraw fechou os PRs externos, descreveu a medida como temporária, até que a plataforma ofereça ferramentas melhores. A discussão oficial que o GitHub abriu sobre contribuições de baixa qualidade lista, entre as funcionalidades desejadas, mecanismos para mantenedores definirem critérios que um PR precisa atender antes mesmo de ser aberto.

Existe uma demanda documentada, por escrito, por um produto que ainda não existe direito.

Restaurar a backpressure, não policiar a origem

Se o diagnóstico é que o pedágio de esforço sumiu, a solução não é adivinhar quem usou IA. É recriar o pedágio — só que cobrando na moeda certa.

A moeda certa é compreensão. E compreensão é mensurável de um jeito bem antigo: fazendo perguntas.

O formato é simples. Ao abrir um PR, o autor recebe duas ou três perguntas específicas sobre aquele diff — perguntas cuja resposta exige ter entendido a mudança, não ter lido a descrição do PR. Ele responde. O merge destrava.

Isso tem propriedades que um detector nunca terá:

Não acusa ninguém. Você não afirma "isto foi gerado por IA". Você pede que a pessoa explique o próprio trabalho — algo que qualquer contribuidor de boa-fé considera razoável, e que muitos projetos já pedem em texto corrido na documentação de contribuição.

Falso positivo custa pouco. Se as perguntas forem fáceis demais para um contribuidor experiente, ele gasta trinta segundos. O pior caso de um detector é acusar um humano de fraude; o pior caso de um quiz é um leve incômodo.

É agnóstico à ferramenta e à-prova-de-futuro. Não importa se o código veio de um modelo, de Stack Overflow ou da cabeça da pessoa. A pergunta que importa continua a mesma daqui a três gerações de modelo: existe alguém que entende isso?

Restaura o pedágio no lugar exato onde ele existia. Não adiciona fricção nova ao processo — recoloca a fricção que sempre esteve lá, e que só era invisível porque vinha de graça junto com o trabalho manual.

O incômodo que sobra

Vale registrar as objeções, porque elas são reais.

Um quiz pode ser respondido por IA. Pode — mas isso exige que a pessoa cole o diff e as perguntas num modelo, leia a resposta e a submeta. É pedágio de novo, e pedágio é o objetivo. O ponto nunca foi tornar impossível; foi tornar não-gratuito.

E existe uma tensão de acessibilidade que não deve ser varrida pra debaixo do tapete: perguntas em inglês penalizam contribuidor não-nativo, e teste cronometrado penaliza gente neurodivergente. Qualquer implementação séria disso precisa ser configurável pelo mantenedor, sem limite de tempo, e com isenção para contribuidores já estabelecidos. Um filtro que só deixa passar quem escreve bem em inglês não está medindo compreensão — está medindo outra coisa, e reproduzindo uma exclusão que o open source já tem de sobra.

O que isso significa

A conversa pública tratou 2025 e 2026 como o momento em que a IA invadiu o open source. Essa moldura leva a políticas de banimento, detectores e brigas sobre proveniência de código — e nenhuma dessas coisas resolve o problema.

A leitura mais útil é outra. O open source rodava havia décadas sobre um filtro de qualidade que ninguém tinha projetado e que quase ninguém percebia: o esforço de entender antes de contribuir. A IA não quebrou o open source. Ela apenas removeu um filtro acidental — e nos obrigou a construir de propósito o que antes vinha de graça.

Escrito a partir de pesquisa em relatórios da Stack Overflow e DORA, políticas públicas de contribuição de curl, tldraw, Ghostty, Godot, matplotlib e Jazzband, discussões oficiais do GitHub e threads do Hacker News, entre janeiro e agosto de 2026.