基于反馈与数据更新 Google 的漏洞披露政策

Google Project Zero 综述，盘点 2014 年 11 月补丁星期二公告中由团队报告的漏洞。

Google Project Zero 文章，在 Apple 发布修复后公开 Mac OS X 与 iPhone 沙箱逃逸漏洞细节。

Google Project Zero 成立公告：宣告一支致力于漏洞研究与报告、让互联网更安全的团队诞生。

depthfirst 的协同漏洞披露政策：所有报告经人工核验并附 PoC 与修复建议；厂商有 30 天修复窗口，补丁发布后再留 7 天缓冲期，随后才公开技术细节。

作者认为安全行业缺乏统一的漏洞提交标准：除非已有合作关系，报告人往往只能向各种邮箱、留言信箱盲目投递。他建议借用 RFC2142 定义的标准邮箱命名（如 security@、abuse@），让漏洞报告有固定渠道可寻。

Project Zero 2025 年版漏洞报告与披露政策更新：重申研究方向、披露时限，以及在野漏洞（in-the-wild）的处理流程。