Google gaat softwareleveranciers minder tijd geven voor het oplossen van de kwetsbaarheden die het techbedrijf rapporteert. Volgens Google is de huidige periode van 90 dagen door de opkomst van AI niet langer houdbaar. Google heeft meerdere onderzoekers in dienst die in veelgebruikte software naar kwetsbaarheden zoeken. Gevonden beveiligingslekken worden vervolgens aan de betreffende ontwikkelaar gerapporteerd, zodat die updates voor gebruikers kan ontwikkelen.

Google geeft softwareleveranciers en -ontwikkelaars op dit moment 90 dagen de tijd om met patches te komen, anders maakt het techbedrijf de details van het gevonden probleem openbaar. Vanaf 2 februari 2027 wordt deze periode verkort naar 60 dagen en vanaf 3 januari 2028 zal Google al na 30 dagen overgaan tot het bekendmaken van de details. "De opkomst van het door AI-ondersteund vinden en misbruiken van kwetsbaarheden heeft het dreigingslandschap zo veranderd, dat de tijdlijn voor het oplossen zoals in ons beleid wordt aangemoedigd duidelijk onvoldoende is", aldus Google.

Het techbedrijf claimt dat AI de snelheid heeft vergroot waarmee aanvallers kwetsbaarheden kunnen vinden en misbruiken, naast het risico dat meerdere partijen hetzelfde probleem kunnen ontdekken. Een kwetsbaarheid die tegenwoordig wordt gevonden vormt een veel groter risico voor gebruikers dan één die vorig jaar werd gerapporteerd, aldus Google. Daardoor is het ook belangrijker geworden dat leveranciers sneller met updates komen. In het geval van actief aangevallen kwetsbaarheden die aan een leverancier zijn gemeld blijft het beleid van Google hetzelfde, en zal het details na 7 dagen openbaar maken.