谷歌 Project Zero 将分阶段把漏洞披露期限从 90 天缩短至 30 天
应对 AI 漏洞挖掘挑战：谷歌 Project Zero 计划将逐步缩短漏洞公开披露期限至 30 天
AI 让漏洞被利用的速度变快了，谷歌干脆把厂商的修复期限从 90 天压到 30 天，分三步走。做安全的、管企业补丁的都得提前看看自己的响应流程跟不跟得上。
11 月 13 日，谷歌 Project Zero 宣布修订自 2021 年起执行的"90+30"漏洞披露政策。原政策允许厂商最多 90 天修复漏洞，另有 30 天补丁推送缓冲期。新政策将分三阶段收紧：2026 年 11 月 13 日起取消缓冲期、报告后 90 天公开；2027 年 2 月 2 日起缩至 60 天；2028 年 1 月 3 日起缩至 30 天。
谷歌给出的理由是 AI 辅助漏洞挖掘与利用技术兴起后，原有修复周期已难以匹配攻击节奏。新政策同时取消了绝大多数"特殊情况"，仅保留三项例外：在野利用漏洞（ITW）继续沿用谷歌应用安全披露政策；已被他人提前公开的漏洞，Project Zero 可酌情公开细节；厂商主动请求时谷歌将公开漏洞信息。
无论厂商是否完成修复，漏洞都会在报告后 X 天直接公开，此举意在压缩厂商的"补丁空窗期"。对安全团队而言，2028 年起 30 天的披露窗口意味着漏洞响应流程需要整体提速。
应对 AI 漏洞挖掘挑战：谷歌 Project Zero 计划将逐步缩短漏洞公开披露期限至 30 天
IT之家 11 月 15 日消息，自 2021 年以来，谷歌漏洞挖掘计划 Project Zero 一直奉行“90 + 30”漏洞披露政策，即允许厂商在最多 90 天内修复漏洞，并额外提供 30 天的“缓冲期”用于补丁推送。 当地时间 11 月 13 日，谷歌宣布，随着人工智能辅助漏洞挖掘与利用技术的兴起，当前形势已发生根本性变化，现有披露政策所设定的修复周期已难以适应需求。 IT之家获悉，为推动厂商更快速地修复漏洞、促使厂商缩短“补丁空窗期”，谷歌发布了全新的漏洞披露政策，新政策规定，无论厂商是否完成修复，漏洞均在报告给厂商后的 X 天 直接公开披露，并分阶段逐步收紧时间限制。 2026 年 11 月 13 日起，取消原 30 天补丁缓冲期，报告后 90 天 公开 2027 年 2 月 2 日起，报告后 60 天 公开 2028 年 1 月 3 日起，报告后 30 天 公开 同时，谷歌将从披露政策中取消绝大多数“特殊情况”，新政策仅保留以下三项例外情况，触发这些情况时不会等待满 X 天才披露： 在野利用漏洞（ITW） ：已被攻击者实际利用的漏洞，继续遵循谷歌应用程序安全漏洞披露政策 已公开漏洞 ：若漏洞细节已被他人提前公开，Project Zero 可酌情公开该漏洞的详细信息。 应厂商请求 ：若接收漏洞报告的厂商主动提出请求，谷歌将公开漏洞细节。
This report is categorized under AITOP's "Industry" desk, focusing on US frontier AI labs and Silicon Valley technology leaders. Within our cross-regional analytical framework, it directly maps to AI regulation, compliance frameworks, and sovereign compute policy and AI developer toolchains, coding agents, and engineering workflows. Key entities and technical topics under continuous tracking include Project Zero, Google, AI safety, vulnerability disclosure.
Source attribution: curated from IT之家.
