Google Project Zero ifşa süresini kısaltıyor: "Full 90" bugünden, Şubat 2027'de 60 gün, Ocak 2028'de 30 gün
Project Zero, 2021'den beri uyguladığı "90 + 30" politikasını bırakıp açıkları üreticiye bildirdikten sabit X gün sonra yayımlayacak. Ekip gerekçe olarak LLM'lerin hem açık bulmayı hem patch'ten exploit üretmeyi hızlandırmasını gösteriyor.
Google'ın açık araştırma ekibi Project Zero, ifşa politikasını değiştirdiğini duyurdu. 2021'den beri geçerli olan "90 + 30" modelinde üreticiye düzeltme için 90 gün, patch'in kullanıcılara yayılması için de 30 günlük ek "soak time" tanınıyordu. Yeni modelin adı "Full X": açık, üreticiye bildirildikten tam X gün sonra yayımlanacak.
Takvim üç adımlı: duyurudan itibaren Full 90, 2 Şubat 2027'den itibaren Full 60, 3 Ocak 2028'den itibaren Full 30. Grace period ve varyant politikası gibi özel durumların çoğu kaldırılıyor.
Gerekçe: LLM'ler takvimi bozdu
Project Zero'ya göre AI destekli açık keşfi ve exploit geliştirme, mevcut düzeltme süresini yetersiz hale getirdi. Ekibin üç tespiti var:
- LLM'ler saldırganların açık bulma ve istismar hızını artırdı; aynı hatayı kötü niyetli birinin de bulma olasılığı yükseldi.
- Patch'ten tersine mühendislikle exploit üretme süresi o kadar kısaldı ki ekip, "patch ile istismar arasında sıfır süre" varsayımını makul (kusursuz olmasa da) bir model olarak görüyor. Bu yüzden 30 günlük soak time artık anlamını yitiriyor ve sahte bir gizlilik hissi yaratıyor.
- Raporlanan açık sayısı arttı: ekip, eskiden yılda birkaç açık bulduğu hedeflerde artık haftada birkaç açık bulduğunu söylüyor. Üreticiyle pazarlık gerektiren kurallar yönetilemez hale geliyordu.
İstisnalar ve kademeli geçiş
Yeni politikada yalnızca üç istisna kalıyor: sahada istismar edilen açıklar Google'ın genel uygulama güvenliği ifşa politikasına göre ele alınacak; başkaları tarafından zaten kamuya açılmış ayrıntılar Project Zero'nun takdirine göre yayımlanabilecek; üretici isterse ayrıntılar erken açılacak.
Ekip, en çok açık bildirdiği üreticilerden görüş aldığını ve geçişi bu yüzden kademeli yaptığını belirtiyor. Üreticilerin kaygısı, ani bir değişikliğin düzeltilmemiş açıkları saldırganlara açması ve süreye yetişemeyeceğini düşünen ekiplerin hiç denememesiydi. Project Zero ayrıca ciddiyet derecesini ifşa kararı için etkili bir ölçüt görmediğini, çünkü ciddiyetin bir açığın saldırganlarca bulunma olasılığını değiştirmediğini yazıyor.
Ne yapılmalı?
- Kendi ürününü geliştiren kurumlar, açık düzeltme sürecini 60 ve ardından 30 günlük hedefe göre planlamaya şimdiden başlamalı; 2 Şubat 2027 ilk eşik.
- BT ve güvenlik ekipleri için asıl ders "patch gap": üretici patch yayımladığı anda ayrıntıların hızla ortaya çıkacağı varsayılmalı, kritik sistemlerde patch takvimi buna göre kısaltılmalı.
- Patch hemen uygulanamıyorsa üreticinin önerdiği geçici önlemler ve erişim kısıtları devreye alınmalı, değişiklikler change management kaydıyla izlenmeli.
- Tedarikçi sözleşmelerinde güvenlik düzeltmesi için öngörülen süreler bu yeni takvimle karşılaştırılmalı.
