谷歌 Project Zero 将分阶段把漏洞披露期限从 90 天缩短至 30 天

11 月 13 日，谷歌 Project Zero 宣布修订自 2021 年起执行的"90+30"漏洞披露政策。原政策允许厂商最多 90 天修复漏洞，另有 30 天补丁推送缓冲期。新政策将分三阶段收紧：2026 年 11 月 13 日起取消缓冲期、报告后 90 天公开；2027 年 2 月 2 日起缩至 60 天；2028 年 1 月 3 日起缩至 30 天。 谷歌给出的理由是 AI 辅助漏洞挖掘与利用技术兴起后，原有修复周期已难以匹配攻击节奏。新政策同时取消了绝大多数"特殊情况"，仅保留三项例外：在野利用漏洞（ITW）继续沿用谷歌应用安全披露政策；已被他人提前公开的漏洞，Project Zero 可酌情公开细节；厂商主动请求时谷歌将公开漏洞信息。 无论厂商是否完成修复，漏洞都会在报告后 X 天直接公开，此举意在压缩厂商的"补丁空窗期"。对安全团队而言，2028 年起 30 天的披露窗口意味着漏洞响应流程需要整体提速。