漏洞披露期限将逐步缩短：从90天调整为30天
目前，从报告安全漏洞到公开详细信息的时间窗口为90天，该期限将分阶段逐步缩短至2028年的30天。谷歌Project Zero（零日漏洞研究团队）认为，随着人工智能技术在漏洞发现和利用方面的速度加快，现有的披露政策已不再适用，因此决定调整其公开策略。
新政策：“Full X”机制详解
Project Zero于13日发布的“Full X”政策中明确，自向软件供应商通报漏洞之日起的X天后，将公开技术细节。“X”代表从报告到公开的总天数，当前默认期限为90天。具体的时间表如下：
- 2027年2月2日之前：期限保持为90天。
- 2027年2月2日至2028年1月3日之间：期限缩短为60天。
- 2028年1月3日起：期限进一步缩短为30天。
需要注意的是，这并不意味着从现在起所有漏洞都立即适用30天的期限，而是采取渐进式调整。
政策演变背景：从“90+30”到“去缓冲期”
自2021年以来，Project Zero一直实行“90+30日”政策。该政策给予供应商最多90天的修复时间，随后再等待30天，以确保用户有足够的时间获取并安装补丁版本。然而，在新政策下，补丁发布后的额外等待期将被取消。这一被称为“补丁差距”（Patch Gap）的概念，指的是补丁发布后到用户完成更新之间的时间差。Project Zero指出，供应商需要同时提高修复和部署的速度。
加速披露的原因：AI与威胁环境变化
Project Zero表示，大型语言模型（LLM）的应用使得攻击者能够更快地发现并利用漏洞。这不仅增加了恶意攻击者抢先发现同一漏洞的可能性，也缩短了逆向分析补丁以理解漏洞工作原理所需的时间。在攻击者几乎可以即时从补丁中提取缺陷信息的背景下，继续坚持发布后等待30天的做法已失去实际的安全意义。
此外，漏洞报告的频率也在上升。Project Zero指出，过去某些调查对象每年仅发现几起漏洞，而现在每周都能找到多起。
旧政策的局限性与供应商的担忧
在旧政策下，Project Zero需与供应商协商以确定漏洞是否已修复以及是否需要延长宽限期。随着流程日益复杂，维持原有政策变得愈发困难。在政策变更过程中，主要供应商表达了担忧，认为突然缩短期限可能导致未修复的漏洞被公开，从而增加用户风险。他们指出，在供应商改进修复流程和技术期间，漏洞信息可能先于修复方案泄露给攻击者。
部分供应商还担心，过短的期限可能导致资源被优先用于处理低严重性缺陷，而非更严重的问题。甚至有观点认为，面对难以遵守的期限，供应商可能会放弃尝试修复漏洞。
应对策略：阶段性过渡与透明度
鉴于上述意见，Project Zero决定不一次性将期限缩短至30天，而是采取分阶段逐步缩紧的策略。此举旨在给予供应商改进应对措施的时间，同时督促其提升修复速度。
值得注意的是，漏洞的严重程度不会影响新的公开期限。Project Zero强调，其追踪的主要是具有显著严重性和确凿安全影响的漏洞；严重程度反映的是对用户造成的潜在损害，而非攻击者发现漏洞的可能性。
例外情况与提前公开条件
在以下情况下，公开时间可能早于规定期限：
- 正在被实际利用的漏洞：根据谷歌应用安全公开政策，此类漏洞将在7天后公开。
- 细节已被第三方公开：此类漏洞可立即公开。
- 供应商请求公开：应供应商要求进行的公开。
此外，若公开漏洞会导致广泛的用户损害，且推迟公开有助于防止损害，Project Zero可酌情设立例外。但在过去的12年中，此类例外仅允许了五次，并将详细记录在案。
Project Zero将继续追踪漏洞修复进展并与供应商保持沟通。不过，是否完成修复并非确定公开日期的唯一标准。为了保持透明度，所有报告的漏洞及其涉及的供应商、产品和报告日期都将公开在透明性页面上。
