谷歌漏洞披露倒计时 2028年起缩至30天

谷歌旗下安全团队Project Zero当地时间11月13日发布了新版漏洞披露政策，名为Full X。核心变化只有一句话：漏洞报告提交给厂商后，满X天就公开细节，无论厂商有没有修复。按新时间表，报告满90天即公开的Full 90从发布日起生效；2027年2月2日起收紧到60天；2028年1月3日起，只剩30天。

这终结了Project Zero自2021年以来执行的「90＋30」模式——厂商有90天修复漏洞，另有30天缓冲期让补丁推送到用户手上。团队在公告《Policy and Disclosure: 2026 Edition》中给出的理由直指人工智能：大语言模型显著加快了攻击者发现和利用漏洞的速度，多方——包括恶意方——独立撞上同一个漏洞的概率也随之上升。

更关键的是补丁本身。补丁一发布，攻击者几乎可以立刻从代码改动里反推出漏洞细节，以至于团队认为「零补丁到利用时间」已经是「一个合理但不完美的攻击者行为模型」。既然缓冲期里补丁本身就是泄露源，继续保留它毫无意义。Project Zero转而要求厂商压缩「补丁空窗」——从修复发布到用户真正装上更新之间的时间。

报告量是另一个压力来源。团队写道，过去一年只报告几个漏洞的目标，如今每周都能报出几个，逐案协商「是否已修复、宽限期是否适用」很快变得管不过来。新政策因此取消了绝大多数特殊情况，包括宽限期和变体政策；漏洞严重程度也不再影响披露时间。仍然保留的例外只有三种：已被在野利用的漏洞（按谷歌应用安全披露政策处理）、细节已被他人公开的漏洞，以及厂商主动请求公开的情形；Spectre、Meltdown式罕见硬件案例仍可豁免。

为什么不一步到位改成30天？团队咨询了收到报告最多的厂商，它们的担忧包括：立即收紧会让尚未修复的漏洞暴露在攻击者面前；厂商可能优先修新报告的漏洞、冷落更严重的旧漏洞；无法达标的厂商可能干脆放弃修复。分阶段的90、60、30天时间表，就是给厂商留出改造修复流程的过渡期。

Project Zero仍是业界协调披露的标杆，它的时钟一改，其他研究者和厂商大概率跟进。对软件厂商而言，游戏规则变成了以报告日起算的硬性公开截止日：90天、60天、30天，倒计时逼着修复流水线提速；对防御者来说，则要开始为「漏洞公开但补丁还没有」的窗口期准备补偿措施。

编译自 Google Project Zero，原标题："Policy and Disclosure: 2026 Edition"