谷歌于当地时间11月13日宣布，对旗下漏洞挖掘团队Project Zero的漏洞披露政策进行重大调整。新政策将分阶段缩短漏洞从报告给厂商到公开披露的时间窗口，最终在2028年1月3日起将这一期限压缩至30天。谷歌方面表示，随着人工智能辅助漏洞挖掘与利用技术的兴起，当前形势已发生根本性变化，现有披露政策所设定的修复周期已难以适应需求。
Project Zero自2021年起一直奉行“90+30”漏洞披露政策，即允许厂商在最多90天内修复漏洞，并额外提供30天的缓冲期用于补丁推送。根据谷歌公布的新方案，2026年11月13日起，原有的30天补丁缓冲期将被取消，漏洞在报告后90天即公开披露；2027年2月2日起，该期限进一步缩短至60天；2028年1月3日起，最终压缩至30天。新政策的核心变化在于，无论厂商是否完成修复，漏洞均将在报告后的规定天数直接公开。
与此同时，谷歌将从披露政策中取消绝大多数“特殊情况”条款。新政策仅保留三项例外：已被攻击者实际利用的在野利用漏洞（ITW），继续遵循谷歌应用程序安全漏洞披露政策；若漏洞细节已被他人提前公开，Project Zero可酌情公开该漏洞的详细信息；若接收漏洞报告的厂商主动提出请求，谷歌将公开漏洞细节。谷歌表示，精简例外条款旨在减少政策执行中的模糊空间，推动厂商更快速地修复漏洞、缩短“补丁空窗期”。
此次政策调整的背景是AI技术正在改变漏洞挖掘的效率与规模。大模型与自动化工具使得漏洞发现速度显著提升，攻击面随之扩大。谷歌在声明中明确指出，人工智能辅助的漏洞挖掘与利用技术是推动此次收紧披露期限的直接原因。对于企业软件与云服务厂商而言，这意味着安全响应窗口将进一步收窄，补丁管理与应急响应流程需要相应提速。
从行业影响看，漏洞披露期限的缩短将压力传导至厂商的软件安全开发与运维环节。较短的修复周期要求厂商具备更成熟的漏洞响应机制和更快的补丁分发能力，否则将面临漏洞细节提前公开带来的风险。Project Zero的这一调整也可能对其他安全研究机构和厂商的披露实践产生示范效应，推动行业整体向更短的修复周期演进。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
