AI 对网络安全领域的改变非常大。大家可以先看一下图中夸张的新发现漏洞增长曲线。

Google 的 Project Zero 过去用的是“90+30”漏洞披露政策：漏洞报告给厂商后，最多在 120 天后披露；厂商有 90 天时间修复漏洞，另外还有 30 天用于推送修复。

今天 Project Zero 团队发布了新的政策：
1、现在开始执行“Full 90”，即漏洞将在向供应商报告后 90 天内披露。
2、2027 年 2 月 2 日起，转为“Full 60”，漏洞将在60天后披露。
3、2028 年 1 月 3 日起，转为“Full 30”，漏洞将在30天后披露。

过去执行“90+30”，是综合考虑了多方利益。如果在厂商修复漏洞前就披露漏洞，那自然会对厂商和用户造成威胁。而如果无限期等厂商，第一不符合漏洞发现者的利益，第二厂商没有动力修复漏洞，所以也不符合用户的利益。因为修漏洞要花很多钱，厂商自然是能不修就不修，能晚修就不早修。

以前漏洞发现速度没那么快，厂商不太担心漏洞在修复前被恶意攻击者发现，可以慢吞吞地修。我报告的漏洞有些两三年后才被修复。另外过去分析漏洞和写攻击代码也没那么容易。补丁发布后，攻击者需要花不少时间才能根据补丁分析出漏洞、写出攻击代码。所以过去“90+30”这个时间是相对合适的。

而在 AI 的驱动下，现在漏洞的发现的速度非常快。当你向厂商报告了一个漏洞，有不小的概率这个漏洞也已经被别人发现，或者在几周内就会被别人发现。这时，如果仍然执行过去的漏洞披露时间政策，反而是不利于网络安全的。而厂商发布补丁后，攻击者根据补丁写出攻击代码的时间已经从过去以周计算，变成了以分钟计算。这时再给厂商 30 天的推送修复时间也变得没有意义了。