Google verkort stapsgewijs de hersteltermijn voor softwarefouten
Het beveiligingsteam Project Zero van Google maakte op 13 november 2026 bekend dat het softwarefouten die het meldt steeds sneller openbaar maakt, omdat AI aanvallers sneller maakt. De termijn daalt in twee stappen van 90 naar 30 dagen.
AI-ondersteund artikel — automatisch opgesteld en gecontroleerd op feiten. Transparantiemelding conform artikel 50 van de EU AI Act.
Project Zero, het team van Google dat beveiligingsfouten in andermans software opspoort, maakt die fouten voortaan na een vaste termijn openbaar. Die termijn wordt in twee stappen korter: van 90 dagen nu naar 30 dagen in 2028. Dat schreef het team op 13 november 2026 in een bericht over zijn nieuwe beleid. Makers van software en apparaten krijgen dus steeds minder tijd om een fout te herstellen voordat de details publiek zijn.
De reden is AI. Volgens Project Zero kunnen aanvallers dankzij taalmodellen sneller fouten vinden en misbruiken, en is de kans groter dat ook kwaadwillenden dezelfde fout ontdekken. Het team vindt zelf meerdere kwetsbaarheden per week in programma’s waar het er vroeger enkele per jaar vond.
Sinds 2021 gaf Project Zero makers 90 dagen om een fout te herstellen, plus 30 dagen extra zodat klanten de herstelling konden installeren. Die extra periode verdwijnt. Het team telt voortaan alleen de dagen vanaf de melding:
- vanaf 13 november 2026: 90 dagen;
- vanaf 2 februari 2027: 60 dagen;
- vanaf 3 januari 2028: 30 dagen.
Het team verklaart de extra periode voor achterhaald. Aanvallers kunnen met een taalmodel bijna meteen uit een herstelling afleiden welke fout erin zat. Een nulde wachttijd tussen herstelling en misbruik noemt Project Zero een redelijk, maar onvolmaakt model van hun gedrag. Het geleidelijke schema moet makers tijd geven om hun werkwijze te verbeteren.
Er blijven drie uitzonderingen. Fouten die al actief misbruikt worden, volgen het aparte beleid van Google voor toepassingsbeveiliging. Project Zero mag details publiceren als anderen ze al openbaar maakten. En het publiceert ook als de maker erom vraagt.
Wat betekent dit voor Vlaanderen en België?
Wie in een bedrijf of organisatie updates beheert, kan nagaan hoe lang het duurt voor een herstelling op de eigen systemen staat. Volgens Project Zero kunnen aanvallers een herstelling vrijwel meteen ontleden, dus telt elke week uitstel.
Wie zelf software of apparaten maakt, kan nagaan of een gemelde fout ook binnen 60 en later 30 dagen te herstellen valt. Wie software van leveranciers gebruikt, kan hen vragen of ze dat aankunnen. Het beleid zegt niet hoeveel fouten bij welke makers tot nu toe niet binnen de termijn zijn hersteld.