谷歌 Project Zero 团队在当地时间 11 月 13 日正式发布全新漏洞披露政策，用来应对 AI 工具大幅降低漏洞挖掘、逆向和漏洞利用门槛带来的安全风险，新政策命名为 Full X 机制，会分三个阶段逐步收紧披露时限，取消沿用多年的 90+30 缓冲规则，漏洞上报厂商之后，倒计时到期就直接公开漏洞细节，不管厂商有没有完成漏洞修复，整套调整节奏循序渐进，给软件厂商、开源项目维护团队留出充足时间去改造内部漏洞响应流程，这个改动也是为了压缩漏洞空窗期，倒逼厂商加快补丁开发、测试、推送全流程，减少黑客拿到漏洞信息攻击用户的机会。之前的 90+30 规则，是给厂商 90 天修复漏洞，修复完成之后再加 30 天的补丁分发缓冲期，合计最长 120 天才公开漏洞详情，现在 AI 可以快速根据补丁反向还原漏洞原理，这个额外缓冲期已经很难保护用户，反而容易给攻击者留出窗口期，所以团队决定取消缓冲时间，只用固定倒计时，同时保留少量特殊例外场景，不会一刀切全部强制执行。厂商需要重新搭建漏洞响应流程，优化漏洞接收、定位、代码修复、版本灰度、全量推送的节奏，适配越来越短的披露倒计时，避免漏洞到期公开时还没有可用补丁。后续谷歌会严格按照既定时间节点切换时限，持续对外公示每一条漏洞的上报时间、到期披露时间，保持整个披露流程透明可追溯。
披露时限阶梯执行表
| 生效时间 | 执行时限 | 政策说明 |
|---|---|---|
| 2026-11-13 起 | 90 天（Full90） | 正式取消原有 30 天补丁缓冲期，上报后 90 天到期公开 |
| 2027-02-02 起 | 60 天（Full60） | 上报厂商 60 天后，到期自动公开漏洞详情 |
| 2028-01-03 起 | 30 天（Full30） | 最终目标时限，上报后 30 天到期公开 |
新旧披露政策对比清单
- 旧政策（90+30）：90 天修复周期 + 修复完成后额外 30 天补丁缓冲，最长 120 天披露
- 新政策（Full X）：从漏洞告知厂商当天开始计时，固定天数后直接公开，无额外缓冲期
- 共同点：默认规则下，到期即公开，不受厂商是否修复完成的约束
可豁免加急披露的特殊场景
- 漏洞已经在野外被黑客主动利用，触发加急披露规则，不受阶梯时限约束
- 漏洞相关细节已经被第三方提前对外公开，Project Zero 会同步放出完整资料
- 厂商主动申请提前公开漏洞信息，双方协商一致后可以提前披露
厂商适配调整方向
- 建立漏洞快速响应通道，缩短漏洞确认、评估的耗时
- 优化补丁开发、回归测试流程，提升补丁产出速度
- 完善灰度推送机制，补丁上线后尽快覆盖终端用户
- 建立漏洞台账，跟踪上报时间，提前预警披露倒计时
【常见问题】
问题 1：应对 AI 漏洞挖掘挑战，谷歌 Project Zero 缩短漏洞披露期限，是立刻改成 30 天吗？
回答 1：不是，应对 AI 漏洞挖掘挑战，谷歌 Project Zero 缩短漏洞披露期限是分阶段落地，先执行 90 天，之后过渡到 60 天，2028 年初才会切换到 30 天，不会一次性直接改成 30 天。
问题 2：应对 AI 漏洞挖掘挑战，谷歌 Project Zero 缩短漏洞披露期限，就算厂商没有修好漏洞也会公开吗？
回答 2：是的，应对 AI 漏洞挖掘挑战，谷歌 Project Zero 缩短漏洞披露期限采用 Full X 机制，倒计时到期就公开漏洞详情，不受厂商是否完成修复的影响，只有少数特殊场景可以例外。
问题 3：应对 AI 漏洞挖掘挑战，谷歌 Project Zero 缩短漏洞披露期限，原来的 90+30 是什么意思？
回答 3：应对 AI 漏洞挖掘挑战，谷歌 Project Zero 缩短漏洞披露期限之前执行 90+30 政策，90 天留给厂商修复漏洞，修复完成后额外还有 30 天缓冲时间用来推送补丁，新政策直接取消了这个缓冲期。
问题 4：应对 AI 漏洞挖掘挑战，谷歌 Project Zero 缩短漏洞披露期限，为什么要针对 AI 漏洞挖掘做这个调整？
回答 4：应对 AI 漏洞挖掘挑战，谷歌 Project Zero 缩短漏洞披露期限，是因为 AI 降低了漏洞挖掘、逆向分析和漏洞利用的门槛，旧的缓冲防护效果下降，需要压缩漏洞空窗期，倒逼厂商更快发布补丁，保护终端用户。
【参考资料】
[2026-11-15]（应对 AI 漏洞挖掘挑战：谷歌 Project Zero 计划将逐步缩短漏洞公开披露期限至 30 天）IT 之家
[2026-11-15]（30 天披露倒计时：AI 漏洞挖掘提速，安全责任边界如何重划）腾讯新闻
[2026-11-14]（Project Zero will disclose vulnerabilities 90 days after reporting）Tech Bytes
[2026-11-13]（Google Project Zero Shifts to Full 90 Disclosure, Plans Full 60 and Full 30 Timelines）LiveThreat
【免责声明】
本文仅为安全政策资讯整理，不构成企业安全整改方案、产品选型建议；漏洞披露的执行细则、豁免判定、特殊加急规则，以谷歌 Project Zero 官方博客原文为准。