谷歌 Project Zero 将分阶段把漏洞披露期限从 90 天缩短至 30 天
应对 AI 漏洞挖掘挑战：谷歌 Project Zero 计划将逐步缩短漏洞公开披露期限至 30 天
AI 让漏洞被利用的速度变快了，谷歌干脆把厂商的修复期限从 90 天压到 30 天，分三步走。做安全的、管企业补丁的都得提前看看自己的响应流程跟不跟得上。
11 月 13 日，谷歌 Project Zero 宣布修订自 2021 年起执行的"90+30"漏洞披露政策。原政策允许厂商最多 90 天修复漏洞，另有 30 天补丁推送缓冲期。新政策将分三阶段收紧：2026 年 11 月 13 日起取消缓冲期、报告后 90 天公开；2027 年 2 月 2 日起缩至 60 天；2028 年 1 月 3 日起缩至 30 天。
谷歌给出的理由是 AI 辅助漏洞挖掘与利用技术兴起后，原有修复周期已难以匹配攻击节奏。新政策同时取消了绝大多数"特殊情况"，仅保留三项例外：在野利用漏洞（ITW）继续沿用谷歌应用安全披露政策；已被他人提前公开的漏洞，Project Zero 可酌情公开细节；厂商主动请求时谷歌将公开漏洞信息。
无论厂商是否完成修复，漏洞都会在报告后 X 天直接公开，此举意在压缩厂商的"补丁空窗期"。对安全团队而言，2028 年起 30 天的披露窗口意味着漏洞响应流程需要整体提速。
应对 AI 漏洞挖掘挑战：谷歌 Project Zero 计划将逐步缩短漏洞公开披露期限至 30 天
IT之家 11 月 15 日消息，自 2021 年以来，谷歌漏洞挖掘计划 Project Zero 一直奉行“90 + 30”漏洞披露政策，即允许厂商在最多 90 天内修复漏洞，并额外提供 30 天的“缓冲期”用于补丁推送。 当地时间 11 月 13 日，谷歌宣布，随着人工智能辅助漏洞挖掘与利用技术的兴起，当前形势已发生根本性变化，现有披露政策所设定的修复周期已难以适应需求。 IT之家获悉，为推动厂商更快速地修复漏洞、促使厂商缩短“补丁空窗期”，谷歌发布了全新的漏洞披露政策，新政策规定，无论厂商是否完成修复，漏洞均在报告给厂商后的 X 天 直接公开披露，并分阶段逐步收紧时间限制。 2026 年 11 月 13 日起，取消原 30 天补丁缓冲期，报告后 90 天 公开 2027 年 2 月 2 日起，报告后 60 天 公开 2028 年 1 月 3 日起，报告后 30 天 公开 同时，谷歌将从披露政策中取消绝大多数“特殊情况”，新政策仅保留以下三项例外情况，触发这些情况时不会等待满 X 天才披露： 在野利用漏洞（ITW） ：已被攻击者实际利用的漏洞，继续遵循谷歌应用程序安全漏洞披露政策 已公开漏洞 ：若漏洞细节已被他人提前公开，Project Zero 可酌情公开该漏洞的详细信息。 应厂商请求 ：若接收漏洞报告的厂商主动提出请求，谷歌将公开漏洞细节。
本条情报归属 AITOP「行业」核心栏目，重点聚焦北美前沿实验室与硅谷科技巨头。在跨区域产业观察坐标中，该动态直接关联「各国 AI 监管法案、合规治理与主权算力政策」「AI 开发者工具链、Coding Agent 与工程化实践」研究主线，反映出当前技术演进与商业落地的最新风向。涉及核心实体与技术议题包括：Project Zero、谷歌、AI安全、漏洞披露，读者可通过下方标签进入对应专题页查阅历史脉络与关联对比。
信源核验说明：本文原始线索采编自「IT之家」，经 AITOP 多维评分管线结构化提炼。
