Una policy in vigore dal 2021
Dal 2021 il programma Project Zero di Google applica un regime di divulgazione delle vulnerabilità noto come 90 + 30. Secondo quanto riporta IT之家, le aziende ricevono fino a 90 giorni per correggere un difetto di sicurezza e dispongono poi di ulteriori 30 giorni di margine per distribuire gli aggiornamenti agli utenti. Il meccanismo punta a evitare che i bug restino nascosti a tempo indeterminato, ma lascia comunque un intervallo tra la correzione e la sua effettiva diffusione.
Il nuovo calendario
Il 13 novembre Google ha comunicato una revisione della politica. La novità centrale è che il difetto viene reso pubblico dopo un numero prefissato di giorni dalla segnalazione al produttore, indipendentemente dal fatto che la correzione sia stata completata. Il passaggio è graduale: dal 13 novembre 2026 viene abolito il margine aggiuntivo di 30 giorni, mantenendo i 90 giorni dalla segnalazione. Dal 2 febbraio 2027 la finestra scende a 60 giorni, fino ad arrivare a 30 giorni dal 3 gennaio 2028.
La società motiva la stretta con la diffusione di tecniche di ricerca e sfruttamento delle vulnerabilità assistite dall'intelligenza artificiale. Secondo Google, questo mutamento rende inadeguati i tempi di correzione previsti dalla politica precedente. L'obiettivo dichiarato è indurre i produttori a intervenire più rapidamente e a ridurre la fase in cui una falla è corretta ma non ancora coperta da un aggiornamento.
Le sole eccezioni ammesse
Insieme ai tempi, cambiano le deroghe. Google elimina la maggior parte dei casi speciali che finora potevano rallentare o anticipare la pubblicazione. Restano tre eccezioni: le vulnerabilità già sfruttate in modo attivo, che continuano a seguire la policy di divulgazione delle applicazioni Google; i casi in cui i dettagli della falla siano già stati resi pubblici da altri, con possibile divulgazione a discrezione di Project Zero; e le richieste esplicite del produttore che ha ricevuto la segnalazione.
Il quadro che emerge è un modello più rigido e prevedibile, in cui la scadenza diventa il fattore principale. Restano però da verificare alcuni aspetti che il materiale non chiarisce: le modalità con cui Google valuterà i casi limite e l'effettiva capacità dei produttori di adeguarsi a una finestra di 30 giorni entro l'inizio del 2028.
