谷歌Project Zero调整漏洞披露：2028年起缩至30天

从 2021 年起，谷歌漏洞挖掘计划 Project Zero 执行的是“90 + 30”漏洞披露政策：厂商最多有 90 天修复漏洞，另有 30 天“缓冲期”用来推送补丁。11 月 15 日消息传来，这一政策即将生变。

当地时间 11 月 13 日，谷歌对外宣布，人工智能辅助漏洞挖掘与利用技术已经兴起，形势因此发生根本性变化，现行披露政策给出的修复周期跟不上需求。

谷歌随后发布全新漏洞披露政策。按新规，不管厂商有没有修完，漏洞都会在报告给厂商后的第 X 天直接对外披露，而且时间限制会分阶段逐步收紧。谷歌称，这样做是要推动厂商更快修复漏洞，缩短“补丁空窗期”。

• 2026 年 11 月 13 日起，原先 30 天的补丁缓冲期被取消，报告后 90 天即公开。

• 2027 年 2 月 2 日起，报告后 60 天公开。

• 2028 年 1 月 3 日起，报告后 30 天公开。

与此同时，披露政策里绝大多数“特殊情况”将被谷歌取消。新政策只留三项例外，一旦触发，就不必等满 X 天才披露。

• 在野利用漏洞（ITW）：这类漏洞已被攻击者实际利用，仍按谷歌应用程序安全漏洞披露政策处理。

• 已公开漏洞：如果漏洞细节已被人提前公开，Project Zero 可以酌情披露该漏洞的详细信息。

• 应厂商请求：收到漏洞报告的厂商如果主动提出请求，谷歌会公开漏洞细节。