Google Project Zero 因 AI 时代改漏洞披露政策:90+30 天不再够用

ifsecure · x · 2026-11-14

Google Project Zero 发布 2026 版披露政策更新,自 2021 年沿用至今的「90+30 天」(90 天修复期+30 天缓冲)将调整。核心论据:LLM 大幅加快了攻击者发现和利用漏洞的速度,同一漏洞被多方(含恶意方)发现的风险上升;补丁发布后攻击者几乎能立即逆向出漏洞细节,30 天 soak time 已失去意义,「零补丁-利用时间差」成为合理的攻击模型。Project Zero 同时指出 AI 使其报告的漏洞量大增——从过去每年几个到如今每周数个,需要厂商更快修复并压缩补丁安装间隔(patch gap)。