Sicherheit · Vertrauen
Jede öffentliche Version wird signiert, attestiert und mit einer Software-Stückliste ausgeliefert — Sie überprüfen Herkunft und Integrität mit öffentlichen Werkzeugen, statt uns vertrauen zu müssen. Die erste getaggte Version, v26.8.0, ist veröffentlicht; ihre Artefakte sind der Nachweis.
Lieferkette
Die Release-Pipeline generiert diese Artefakte automatisch, und jedes davon liegt in der ersten getaggten Version, v26.8.0 (2026-09-01): Laden Sie die Artefakte herunter und überprüfen Sie sie mit öffentlichen Werkzeugen.
Jeder Release-Binär wird von GitHub Actions mit SLSA-Herkunftsattestierung über slsa-github-generator erstellt. Die Attestierung beweist, dass der Binär aus dem eingegebenen Quellcode in einer gehärteten Build-Umgebung ohne manuelle Eingriffe erstellt wurde.
Wie die Überprüfung funktioniertDas Checksums-Manifest und das Container-Image werden mit Sigstore Cosign signiert (schlüsselloser Modus über Fulcio + Rekor); die Archive tragen SBOM- und OpenVEX-Attestierungen, und der Satz trägt SLSA-Provenance — jeweils über die eigene Prüfkette verifiziert. Sie können überprüfen, ohne dass wir einen öffentlichen Schlüssel verteilen — das Transparenzprotokoll ist die Vertrauensbasis.
ÜberprüfungsleitfadenJede Version enthält SBOM in CycloneDX- und SPDX-Formaten mit Auflistung jeder Abhängigkeit mit Version und Lizenz. Maschinenlesbar, prüfbar.
Wie das SBOM überprüft wirdBekannte Schwachstellen und ihre Anwendbarkeit auf jede Version werden als OpenVEX-Dokumente veröffentlicht. VEX-Aussagen unterscheiden zwischen „betroffen", „nicht betroffen" und „in Untersuchung".
Wie Hinweise überprüft werdenEine maschinenlesbare Richtlinie zur Offenlegung von Schwachstellen unter /.well-known/security.txt gemäß RFC 9116. Enthält Kontakt, Richtlinienlink und Ablaufdatum.
security.txt ansehenArchitektur
Unbekannter Status wird verweigert, nicht erlaubt. Jede Richtlinienentscheidung verwendet standardmäßig Verweigerung — eine Engine, die ihren Richtlinienspeicher nicht erreichen kann, lehnt alle Anfragen ab, anstatt offen zu versagen.
Das Auditprotokoll ist nur-anhängend mit kryptografischer Verkettung. Ereignisse können nicht still modifiziert oder gelöscht werden — Manipulation bricht die Kette und ist erkennbar.
Die Engine läuft vollständig in Ihrer Umgebung. Die Lizenzüberprüfung ist offline (Ed25519-Signaturprüfung). Keine Telemetrie, keine obligatorischen Netzwerkaufrufe, kein Aktivierungsserver.
Cedar-basiertes RBAC und ABAC mit begrenzten Genehmigungen. Benutzerdefinierte Rollen, Delegationsobergrenzen und Notfallzugang mit Doppelkontrolle. Der Standard-Berechtigungssatz ist leer.
Compliance
Wir veröffentlichen, was live ist und was noch nicht begonnen wurde. Wir beanspruchen keine Zertifizierungen, die wir nicht erlangt haben.
RFC 9116 security.txt
Maschinenlesbare Richtlinie zur Offenlegung von Schwachstellen, live unter /.well-known/security.txt.
SLSA Build Level 3
Herkunftsattestierung über slsa-github-generator — gebaut und in CI ausgeführt; wird mit jeder getaggten Version veröffentlicht.
SBOM (CycloneDX + SPDX)
Software-Stückliste, die für jeden Release-Build generiert wird.
Schlüssellose Cosign-Signaturen
Sigstore-basierte Artefaktsignierung über Fulcio + Rekor.
OpenVEX-Hinweise
Anwendbarkeitserklärungen für Schwachstellen pro Version.
SOC 2 Type II
Geplant. Erforderlich für die verwaltete Cloud, nicht für Self-Hosting.
ISO 27001
Geplant. Zeitplan nicht festgelegt.
Unabhängiger Penetrationstest
Geplant. Wird nach Abschluss veröffentlicht.
Framework-Bereitschaft
Das Produkt bildet Fähigkeiten auf 26 Compliance-Framework-Kataloge ab. Nachfolgend die Bereitschaftspostur für die von Enterprise-Käufern am häufigsten nachgefragten Frameworks. Jeder Eintrag ist eine Bereitschaftszuordnung — keine Zertifizierung.
Zuordnung der Anhang-A-Kontrollen mit Nachweisverweisen. Nicht zertifiziert.
AIMS-Bereitschaftszuordnung — das Produkt generiert die Nachweise, die ein AIMS erfordert. Nicht zertifiziert.
Zuordnung der Trust Services Criteria (Security / Common Criteria). Nicht attestiert.
Vorlage für die technische Dokumentation nach Anhang IV. Das Produkt ist Governance-Tooling, nicht selbst ein System nach Anhang III.
Selbstbewertungen CAIQ v4 und AI-CAIQ (AICM v1.0) vorbereitet. Nicht beim STAR Registry eingereicht.
RTBF-Runbook mit Crypto-Shred, Residenz-Attestierung, Aufbewahrung und Legal Hold. Self-hosted: der Kunde ist Verantwortlicher und Auftragsverarbeiter.
Unterkategorie-Zuordnung einschließlich des Generative-AI-Profils (AI 600-1).
Export der ICT-Risikoansicht; der Generator für das Informationsregister ist ein Enterprise-Add-on.
Pflichtenzuordnung mit ICT-Lieferketten-Postur und Nachweisen zur Vorfallmeldung.
Vertrauenspaket
Das Vertrauenspaket ist in diesem Trust Center herunterladbar und liegt im öffentlichen Quellcode-Repository. Enterprise-Käufer können das vollständige Paket anfordern — einschließlich vorausgefüllter Fragebögen und des Evaluierungsleitfadens — über enterprise@olivares.ai.
Verfügbare Dateien sind öffentliche Markdown-Snapshots mit Quellenangabe. Elemente ohne teilbare Quelle bleiben auf Anfrage verfügbar.
CSA Cloud Controls Matrix v4 — 17 Domänen mit Nachweisverweisen.
Herunterladen (Markdown)CSA AI Controls Matrix v1.0 — 18 Domänen einschließlich Model Security.
Herunterladen (Markdown)33 vorgeprüfte Antworten, ausgerichtet auf SIG 2026, CSA AI-CAIQ und gängige Käuferfragebögen.
Herunterladen (Markdown)Käuferorientierte Architektur: drei Vertrauenszonen, Bereitstellungstopologien, HA/DR, Dimensionierung.
Herunterladen (Markdown)Wertnachweis in 10 Geschäftstagen — Pass/Fail-Kriterien gegen die echte Binärdatei.
Herunterladen (Markdown)Vollständiger Vergleich Community (AGPL) vs Enterprise — das vollständige Enterprise-Add-on-Set.
Herunterladen (Markdown)Bedrohungsmodell-Verifizierung mit file:line-Nachweisen — pentest-bereit.
Auf Anfrage verfügbarVoluntary Product Accessibility Template für die Admin-Konsole.
Herunterladen (Markdown)Datenverarbeitung
Olivares AI ist selbst gehostete Software. Olivares-Governance-Daten — Inventar, Zugriffskarte, Richtlinienstatus und Audit-Nachweise — bleiben standardmäßig in einer Infrastruktur, die Sie kontrollieren, und es gibt keine Unterauftragsverarbeiter von Kundendaten. Anfragen an gehostete Modellanbieter sowie alle von Ihnen konfigurierten Ausgabe- oder Telemetrieziele gehen an die von Ihnen gewählten Anbieter — Ihre Lieferanten, nicht unsere; das Produkt katalogisiert sie im Inventar für Ihr Drittpartei-Risikomanagement. Olivares selbst tätigt keine verpflichtenden Heimrufe.
Falls ein verwaltetes Cloud-Angebot eingeführt wird, werden Unterauftragsverarbeiter hier aufgelistet, bevor eine Datenverarbeitung beginnt.
Unsere Website, Lizenzierung und Kommunikation laufen über:
Website-Hosting, DNS und Bot-Schutz.
Transaktions-E-Mails und Newsletter-Zustellung.
Merchant of Record für kommerzielle Lizenzen.
Quellcode-Hosting und Community.
Wir nutzen keinen clientseitigen Analytics-Anbieter und führen keine clientseitige Analyse aus.
Selbst überprüfen
Jede Artefakt-Behauptung auf dieser Seite ist mit öffentlichen Werkzeugen gegen die veröffentlichte Version überprüfbar — das mitgelieferte Skript prüft die Dateien, die es erkennt (das cosign-signierte Checksums-Manifest, die SBOM- und OpenVEX-Attestierungen, die SLSA-Provenance), und nennt, was es übersprungen hat; Container-Images werden per Digest verifiziert. Laden Sie zuerst die Artefakte herunter; pipen Sie niemals einen Installer in eine Shell.
# Laden Sie die Release-Artefakte (v26.8.0 oder neuer) herunter und führen Sie
# dann den mitgelieferten Verifier aus diesem Verzeichnis aus:
scripts/verify-release.sh # schlüssellos (Sigstore)
scripts/verify-release.sh --key cosign.pub --offline # air-gapped, ohne NetzwerkDas Skript prüft Cosign-Signaturen, SLSA-Herkunft sowie die SBOM- und OpenVEX-Attestierungen. Die vollständige manuelle Befehlskette ist im Leitfaden „Einen Release verifizieren" in der Dokumentation beschrieben.
Stellen Sie die Demo-Umgebung in fünf Minuten bereit und führen Sie dann den vollständigen Wertnachweis in 10 Geschäftstagen durch. Der Evaluierungsleitfaden enthält Pass/Fail-Kriterien gegen die echte Binärdatei — keine Folien, keine Sandbox, keine Demo-Umgebung, die sich von der Produktion unterscheidet.
Noch nicht. Für beide existieren Readiness-Zuordnungen — SOC 2 (Trust Services Criteria) und ISO 27001 (Kontrollen aus Anhang A) — mit Verweisen auf Nachweise im Code. SOC 2 Type II ist für die verwaltete Cloud geplant. Wir veröffentlichen unseren Stand, keine Behauptungen.
Noch nicht. Ein unabhängiger Penetrationstest ist geplant und wird nach Abschluss veröffentlicht.
Führen Sie das mitgelieferte Überprüfungsskript (scripts/verify-release.sh) über die heruntergeladenen Artefakte von v26.8.0 oder neuer aus oder überprüfen Sie manuell mit Cosign — das Checksums-Manifest ist cosign-signiert, die Archive tragen SBOM- und OpenVEX-Attestierungen, und der Satz trägt SLSA-Provenance. Kein Vertrauen in uns erforderlich: das Transparenzprotokoll ist die Vertrauensbasis.
Olivares AI ist selbst gehostet — Ihre Daten bleiben in Ihrer eigenen Infrastruktur. Der Anbieter sieht, speichert oder verarbeitet Ihre Daten nie. Es gibt keine Unterauftragsverarbeiter. Die verwaltete Cloud (wenn verfügbar) wird Datenresidenz-Zusagen bieten.
Ja — ein AVV nach Art. 28 DSGVO ist für die Enterprise-Beschaffung auf Anfrage über enterprise@olivares.ai verfügbar, auch beim Self-Hosting, bei dem Sie Verantwortlicher und Auftragsverarbeiter Ihrer eigenen Daten bleiben. Eine künftige Managed Cloud würde ihren eigenen AVV und ihre Unterauftragsverarbeiter-Liste veröffentlichen.
Das Produkt bildet 26 Framework-Kataloge ab, darunter EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM und US-amerikanische KI-Gesetze auf Bundesstaatsebene. Jedes Framework besteht aus Daten mit Nachweisen pro Kontrolle — keine Zertifizierungsbehauptung.
Installieren Sie eine signierte Version oder kompilieren Sie aus dem Quellcode, starten Sie die Demo-Umgebung in fünf Minuten und folgen Sie dem 10-Tage-Evaluierungsleitfaden. Jedes Kriterium ist Pass/Fail gegen die echte Binärdatei. Kontaktieren Sie enterprise@olivares.ai für eine Enterprise-Evaluierungslizenz während des POV.
Der AGPL-Build ist die vollständige Plattform — nichts wird entfernt. Enterprise fügt sein vollständiges Set an Risikominderungs- und Skalierungsfähigkeiten hinzu (Multi-IdP, Content-Firewall, WORM-Aufbewahrung, DORA-Register und mehr) plus eine rechtliche Ausnahme vom AGPL-Copyleft und kommerziellen Support, dessen Umfang zum Launch veröffentlicht wird. Die vollständige Feature-Matrix befindet sich im Vertrauenspaket.
Jede öffentliche Version wird signiert, attestiert und dokumentiert ausgeliefert — überprüfen Sie die Integrität selbst. Die erste getaggte Version, v26.8.0, ist veröffentlicht.