谷歌 Project Zero 在当地时间 11 月 13 日官宣调整漏洞披露政策，会分阶段逐步压缩漏洞公开披露时间，不再沿用之前的 90+30 规则，改成固定时限到期就公开，不管厂商有没有完成漏洞修复，整个调整节奏是循序渐进的，给软件厂商留出适配改造的时间，这套新政策的核心目的是倒逼厂商加快漏洞修复、补丁推送速度，降低漏洞被黑客利用的风险。之所以要缩短披露期限，主要是现在 AI 工具让漏洞挖掘、逆向、漏洞利用的门槛大幅下降，黑客拿到补丁之后，很快就能反向推出漏洞细节，原来额外的 30 天缓冲期保护效果已经变弱，漏洞空窗期越长，普通用户面临的安全风险就越高，所以团队决定取消缓冲期，设置阶梯式的披露时间。新政策会按照三个时间节点依次切换，到对应时间点自动启用新的披露时限，只有少数特殊场景可以走例外流程，其余漏洞全部统一执行固定倒计时。厂商需要提前搭建更快的漏洞响应、修复、灰度推送流程，缩短补丁从开发到用户安装的间隔，跟进这套新的披露节奏。
披露期限阶梯时间表
| 生效时间 | 披露时限 | 政策说明 |
|---|---|---|
| 2026-11-13 起 | 90 天 | 取消原有 30 天补丁缓冲期，报告后 90 天直接公开 |
| 2027-02-02 起 | 60 天 | 报告厂商 60 天后到期公开 |
| 2028-01-03 起 | 30 天 | 最终目标时限，报告厂商 30 天后到期公开 |
新旧政策对比
- 旧政策（90+30）：90 天修复时间，修复完成后再加 30 天缓冲期，合计最长 120 天
- 新政策（Full X）：从告知厂商当天开始计时，固定天数后直接公开，不再额外增加缓冲时间
例外处理场景清单
- 漏洞已经在野外被黑客主动利用，会走单独加急披露规则，不受上面固定时限约束
- 漏洞细节已经被第三方提前对外公开，Project Zero 可以同步放出完整信息
- 厂商主动提出申请，希望提前公开漏洞信息，可协商提前披露
后续执行安排
- 从 11 月 13 日开始，新上报的漏洞直接启动 90 天倒计时
- 到下一个节点自动切换 60 天规则，再到 2028 年初切换 30 天规则
- 政策同步简化各类特殊豁免条款，方便厂商和安全团队自动化对接
- 持续对外公示政策细则，保持披露流程透明
【常见问题】
问题 1：谷歌 Project Zero 缩短漏洞披露期限，是立刻改成 30 天吗？
回答 1：不是，谷歌 Project Zero 缩短漏洞披露期限是分阶段落地，先从 90 天开始，之后过渡到 60 天，最终才会到 30 天，不会一次性直接切换到 30 天。
问题 2：谷歌 Project Zero 缩短漏洞披露期限，就算厂商没修好漏洞也会公开吗？
回答 2：是的，谷歌 Project Zero 缩短漏洞披露期限之后，采用 Full X 机制，倒计时到期就公开漏洞详情，不受厂商是否完成修复的影响，只有少数特殊场景例外。
问题 3：谷歌 Project Zero 缩短漏洞披露期限，原来的 90+30 是什么意思？
回答 3：谷歌 Project Zero 缩短漏洞披露期限之前执行 90+30 政策，90 天留给厂商修复漏洞，修复完成后额外还有 30 天缓冲时间用来推送补丁，新政策直接取消了这 30 天缓冲期。
问题 4：谷歌 Project Zero 缩短漏洞披露期限，为什么要做这个政策改动？
回答 4：谷歌 Project Zero 缩短漏洞披露期限，主要原因是 AI 降低了漏洞挖掘和逆向利用的门槛，旧的缓冲期防护效果下降，需要倒逼厂商加快漏洞修复和补丁分发，减少用户暴露在风险里的时间。
【参考资料】
[2026-11-15]（谷歌 Project Zero 计划将逐步缩短漏洞公开披露期限至 30 天）IT 之家
[2026-11-15]（30 天披露倒计时：AI 漏洞挖掘提速，安全责任边界如何重划）腾讯新闻
[2026-11-14]（Project Zero will disclose vulnerabilities 90 days after reporting）Tech Bytes
[2026-11-13]（Google Project Zero Shifts to Full 90 Disclosure, Plans Full 60 and Full 30 Timelines）LiveThreat
【免责声明】
本文仅为行业政策信息整理，不构成安全方案、产品选型建议；漏洞披露的实际执行、特殊豁免规则以谷歌 Project Zero 官方博客发布原文为准。