Contexte et évolution de la politique
Depuis 2021, Project Zero appliquait une règle "90 + 30" : les fournisseurs disposaient de 90 jours pour corriger une faille, suivis de 30 jours de soak time afin de garantir le déploiement du correctif. Cette approche visait à équilibrer rapidité de correction et temps de diffusion aux utilisateurs.
Le 15 novembre 2026, Google a annoncé une révision majeure : le nouveau modèle "Full 90" impose la divulgation exactement 90 jours après la notification au fournisseur. Deux étapes ultérieures sont prévues, Full 60 à compter du 2 février 2027 et Full 30 dès le 3 janvier 2028. Les grace periods et variantes précédentes sont supprimés, à l’exception de trois cas limités (exploitation active, divulgation publique préalable, demande du fournisseur).
Impact des modèles de langage sur la menace
Le texte souligne que les grands modèles de langage (LLM) accélèrent la découverte et l’exploitation des vulnérabilités. Selon le rapport, les attaquants peuvent désormais passer d’un correctif à une exploitation en temps quasi nul, rendant la période de soak pratiquement obsolète. De plus, le volume de rapports a bondi : plusieurs failles par semaine sont identifiées contre quelques‑unes par an
Les LLM réduisent également le temps de rétro‑ingénierie du patch, augmentant le risque que les utilisateurs subissent une attaque avant même d’avoir installé la mise à jour. Le concept de patch gap – intervalle entre la publication du correctif et son installation – devient ainsi un facteur critique à réduire, soit par une diffusion plus rapide, soit par des mesures de protection temporaires.
Nouveaux paramètres de divulgation
Les objectifs déclarés du nouveau cadre sont trois : accélérer la remédiation, réduire le patch gap et automatiser le processus tant pour Project Zero que pour les fournisseurs. La suppression des cas spéciaux simplifie l’automatisation : seules les vulnérabilités déjà exploitées, déjà publiques ou explicitement demandées par le fournisseur restent exemptées.
Le texte précise que la sévérité n’est plus un critère de décision. Même une faille jugée « faible » (ex. crash de pointeur nul) peut être exploitée rapidement, donc la politique ne fait aucune distinction basée sur le score CVSS.
Implications pour les fournisseurs
Les fournisseurs doivent réviser leurs chaînes de réponse : automatiser la réception des rapports, raccourcir les cycles de test et de déploiement, et envisager des stratégies non‑patch (ex. désactivation de code). Le rapport rappelle les exceptions historiques (Spectre, Meltdown) où des délais plus longs ont été accordés, mais indique que de telles dérogations resteront rares.
Enfin, la vérification de la correction demeure complexe, surtout pour les composants non distribués aux utilisateurs. Project Zero continuera à communiquer avec les fournisseurs, mais la décision de divulguer ne dépendra plus d’une confirmation de correction, ce qui place la charge de preuve sur le fournisseur.
