Sicherheit · Vertrauen
Jede öffentliche Version wird signiert, attestiert und mit einer Software-Stückliste ausgeliefert — Sie überprüfen Herkunft und Integrität mit öffentlichen Werkzeugen, statt uns vertrauen zu müssen. Die Artefakte jeder veröffentlichten Version sind der Nachweis.
Lieferkette
Die Release-Pipeline generiert diese Artefakte automatisch, und jedes davon liegt in jeder getaggten Version: Laden Sie die Artefakte herunter und überprüfen Sie sie mit öffentlichen Werkzeugen.
Jeder Release-Binär wird von GitHub Actions mit SLSA-Herkunftsattestierung über slsa-github-generator erstellt. Die Attestierung beweist, dass der Binär aus dem eingegebenen Quellcode in einer gehärteten Build-Umgebung ohne manuelle Eingriffe erstellt wurde.
Wie die Überprüfung funktioniertDas Checksums-Manifest und das Container-Image werden mit Sigstore Cosign signiert (schlüsselloser Modus über Fulcio + Rekor); das Release enthält ein SPDX-SBOM und ein OpenVEX-Dokument, und der Satz trägt SLSA-Provenance — jeweils über die eigene Prüfkette verifiziert. Sie können überprüfen, ohne dass wir einen öffentlichen Schlüssel verteilen — das Transparenzprotokoll ist die Vertrauensbasis.
ÜberprüfungsleitfadenJede Version enthält eine SBOM im SPDX-Format mit Auflistung jeder Abhängigkeit mit Version und Lizenz. Maschinenlesbar, prüfbar.
Wie das SBOM überprüft wirdBekannte Schwachstellen und ihre Anwendbarkeit auf jede Version werden als OpenVEX-Dokumente veröffentlicht. VEX-Aussagen unterscheiden zwischen „betroffen", „nicht betroffen" und „in Untersuchung".
Wie Hinweise überprüft werdenEine maschinenlesbare Richtlinie zur Offenlegung von Schwachstellen unter /.well-known/security.txt gemäß RFC 9116. Enthält Kontakt, Richtlinienlink und Ablaufdatum.
security.txt ansehenArchitektur
Unbekannter Status wird verweigert, nicht erlaubt. Jede Richtlinienentscheidung verwendet standardmäßig Verweigerung — eine Engine, die ihren Richtlinienspeicher nicht erreichen kann, lehnt alle Anfragen ab, anstatt offen zu versagen.
Das Auditprotokoll ist nur-anhängend mit kryptografischer Verkettung. Ereignisse können nicht still modifiziert oder gelöscht werden — Manipulation bricht die Kette und ist erkennbar.
Die Engine läuft vollständig in Ihrer Umgebung. Die Lizenzüberprüfung ist offline (Ed25519-Signaturprüfung). Keine Telemetrie, keine obligatorischen Netzwerkaufrufe, kein Aktivierungsserver.
Cedar-basiertes RBAC und ABAC mit begrenzten Genehmigungen. Benutzerdefinierte Rollen, Delegationsobergrenzen und Notfallzugang mit Doppelkontrolle. Der Standard-Berechtigungssatz ist leer. Benutzerdefinierte Rollen, begrenzte Genehmigungen und Notfallzugang gehören zu Business.
Compliance
Wir veröffentlichen, was live ist und was noch nicht begonnen wurde. Wir beanspruchen keine Zertifizierungen, die wir nicht erlangt haben.
RFC 9116 security.txt
Maschinenlesbare Richtlinie zur Offenlegung von Schwachstellen, live unter /.well-known/security.txt.
SLSA Build Level 3
Herkunftsattestierung über slsa-github-generator — gebaut und in CI ausgeführt; wird mit jeder getaggten Version veröffentlicht.
SBOM (SPDX)
Software-Stückliste, die für jeden Release-Build generiert wird.
Schlüssellose Cosign-Signaturen
Sigstore-basierte Artefaktsignierung über Fulcio + Rekor.
OpenVEX-Hinweise
Anwendbarkeitserklärungen für Schwachstellen pro Version.
SOC 2 Type II
Geplant.
ISO 27001
Geplant. Zeitplan nicht festgelegt.
Unabhängiger Penetrationstest
Geplant. Wird nach Abschluss veröffentlicht.
Framework-Bereitschaft
Business bildet Fähigkeiten auf 26 Compliance-Framework-Kataloge ab. Nachfolgend die Bereitschaftspostur für die von Enterprise-Käufern am häufigsten nachgefragten Frameworks. Jeder Eintrag ist eine Bereitschaftszuordnung — keine Zertifizierung.
Zuordnung der Anhang-A-Kontrollen mit Nachweisverweisen. Nicht zertifiziert.
AIMS-Bereitschaftszuordnung — das Produkt generiert die Nachweise, die ein AIMS erfordert. Nicht zertifiziert.
Zuordnung der Trust Services Criteria (Security / Common Criteria). Nicht attestiert.
Vorlage für die technische Dokumentation nach Anhang IV. Das Produkt ist Governance-Tooling, nicht selbst ein System nach Anhang III.
Selbstbewertungen CAIQ v4 und AI-CAIQ (AICM v1.0) vorbereitet. Nicht beim STAR Registry eingereicht.
RTBF-Runbook mit Crypto-Shred, Residenz-Attestierung, Aufbewahrung und Legal Hold. Self-hosted: der Kunde ist Verantwortlicher und Auftragsverarbeiter.
Unterkategorie-Zuordnung einschließlich des Generative-AI-Profils (AI 600-1).
Export der IKT-Risikoansicht; der Register-of-Information-Generator ist in Compliance Packs von Business enthalten.
Pflichtenzuordnung mit ICT-Lieferketten-Postur und Nachweisen zur Vorfallmeldung.
Vertrauenspaket
Das Vertrauenspaket ist in diesem Trust Center herunterladbar und liegt im öffentlichen Quellcode-Repository. Enterprise-Käufer können das vollständige Paket anfordern — einschließlich vorausgefüllter Fragebögen und des Evaluierungsleitfadens — über enterprise@olivares.ai.
Verfügbare Dateien sind öffentliche Markdown-Snapshots. Jede beginnt mit einer Kopfzeile, die ihr Snapshot-Datum und den SHA-256-Digest von allem nennt, was nach dieser Zeile und der folgenden Leerzeile steht. Elemente ohne teilbare Quelle bleiben auf Anfrage verfügbar.
CSA Cloud Controls Matrix v4 — 17 Domänen mit Nachweisverweisen.
Herunterladen (Markdown)CSA AI Controls Matrix v1.0 — 18 Domänen einschließlich Model Security.
Herunterladen (Markdown)33 vorgeprüfte Antworten, ausgerichtet auf SIG 2026, CSA AI-CAIQ und gängige Käuferfragebögen.
Herunterladen (Markdown)Käuferorientierte Architektur: drei Vertrauenszonen, Bereitstellungstopologien, HA/DR, Dimensionierung.
Herunterladen (Markdown)Wertnachweis in 10 Geschäftstagen — Pass/Fail-Kriterien gegen die echte Binärdatei.
Herunterladen (Markdown)Business enthält die kommerzielle Lizenz, den signierten Release-Kanal und vier Funktionsfamilien: Regulated Operations, AI Runtime Security, Compliance Packs, Identity & Scale. Nichts wird separat verkauft.
Herunterladen (Markdown)Bedrohungsmodell-Verifizierung mit file:line-Nachweisen — pentest-bereit.
Auf Anfrage verfügbarVoluntary Product Accessibility Template für die Admin-Konsole.
Herunterladen (Markdown)Datenverarbeitung
Olivares AI ist selbst gehostete Software. Olivares-Governance-Daten — Inventar, Zugriffskarte, Richtlinienstatus und Audit-Nachweise — bleiben standardmäßig in einer Infrastruktur, die Sie kontrollieren, und es gibt keine Unterauftragsverarbeiter von Kundendaten. Anfragen an gehostete Modellanbieter sowie alle von Ihnen konfigurierten Ausgabe- oder Telemetrieziele gehen an die von Ihnen gewählten Anbieter — Ihre Lieferanten, nicht unsere; das Produkt katalogisiert sie im Inventar für Ihr Drittpartei-Risikomanagement. Olivares selbst tätigt keine verpflichtenden Heimrufe.
Unsere Website, Lizenzierung und Kommunikation laufen über:
Website-Hosting, DNS und Bot-Schutz.
Zustellung von Transaktions-E-Mails.
Merchant of Record für kommerzielle Lizenzen.
Quellcode-Hosting und Community.
Wir nutzen keinen clientseitigen Analytics-Anbieter und führen keine clientseitige Analyse aus.
Selbst überprüfen
Beziehen Sie scripts/verify-release.sh aus einem vertrauenswürdigen Quellcode-Checkout des Release-Tags; das Skript ist kein Release-Artefakt. Führen Sie es im Verzeichnis der heruntergeladenen Dateien aus. Die schlüssellose Prüfung benötigt Sigstore-Vertrauensanker und Netzwerkzugriff.
/path/to/olivares/scripts/verify-release.sh --source-tag <version>--source-tag <version> bindet nur die SLSA-Herkunftsprüfung und benötigt slsa-verifier. Der Vergleich von SHA-256-Prüfsummen braucht kein Netzwerk; die Authentifizierung des Manifests erfordert weiterhin die Signaturprüfungen. --offline überspringt die Rekor-Abfrage, nicht alle Netzwerkabhängigkeiten. Schlüssellose Signaturen und SBOM/OpenVEX-Attestierungen brauchen Sigstore-Vertrauensanker, sofern diese nicht gecacht sind; SLSA hat hier keine Offline-Option. Übersprungene Prüfungen sind ungeprüft. Voraussetzungen stehen im Leitfaden.
Stellen Sie die Demo-Umgebung in fünf Minuten bereit und führen Sie dann den vollständigen Wertnachweis in 10 Geschäftstagen durch. Der Evaluierungsleitfaden enthält Pass/Fail-Kriterien gegen die echte Binärdatei — keine Folien, keine Sandbox, keine Demo-Umgebung, die sich von der Produktion unterscheidet.
Noch nicht. Für beide existieren Readiness-Zuordnungen — SOC 2 (Trust Services Criteria) und ISO 27001 (Kontrollen aus Anhang A) — mit Verweisen auf Nachweise im Code. Wir veröffentlichen unseren Stand, keine Behauptungen.
Noch nicht. Ein unabhängiger Penetrationstest ist geplant und wird nach Abschluss veröffentlicht.
Beziehen Sie scripts/verify-release.sh aus einem vertrauenswürdigen Quellcode-Checkout des Release-Tags; das Skript ist kein Release-Artefakt. Die schlüssellose Prüfung benötigt Sigstore-Vertrauensanker und Netzwerkzugriff. --source-tag <version> bindet die SLSA-Herkunftsprüfung an Tag <version>; dafür ist slsa-verifier nötig. Fehlt das Werkzeug oder die Provenienz, wird diese Prüfung übersprungen. Die Standardprüfungen für Signaturen und SBOM/OpenVEX-Attestierungen akzeptieren jeden Release-Tag des Signatur-Workflows des Projekts, nicht nur <version>. Übersprungene Prüfungen sind ungeprüft. Der Leitfaden beschreibt Voraussetzungen und Container-Image-Prüfung.
Beim Selbsthosting bleiben die Governance-Daten von Olivares (Inventar, Zugriffskarte, Richtlinienstatus und Audit-Nachweise) standardmäßig in einer Infrastruktur, die Sie kontrollieren. Anfragen an gehostete Modellanbieter, die Sie wählen, sowie Daten für Ausgabe- oder Telemetrieziele, die Sie konfigurieren, gehen an diese externen Dienste. Die von uns für Website, Lizenzierung und Kommunikation genutzten Dienste sind auf dieser Seite gesondert aufgeführt.
Ja — ein AVV nach Art. 28 DSGVO ist für die Enterprise-Beschaffung auf Anfrage über enterprise@olivares.ai verfügbar, auch beim Self-Hosting, bei dem Sie Verantwortlicher und Auftragsverarbeiter Ihrer eigenen Daten bleiben.
Business bildet 26 Framework-Kataloge ab, darunter EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM und US-amerikanische KI-Gesetze auf Bundesstaatsebene. Jedes Framework besteht aus Daten mit Nachweisen pro Kontrolle — keine Zertifizierungsbehauptung.
Installieren Sie eine signierte Version oder kompilieren Sie aus dem Quellcode, starten Sie die Demo-Umgebung in fünf Minuten und folgen Sie dem 10-Tage-Evaluierungsleitfaden. Jedes Kriterium ist Pass/Fail gegen die echte Binärdatei. Kontaktieren Sie enterprise@olivares.ai für eine Enterprise-Evaluierungslizenz während des POV.
Community ist die vollständige, kostenlose AGPL-3.0-Plattform mit unbegrenzten Nutzern und einem aktiven Identitätsanbieter. Business enthält die kommerzielle Lizenz, den signierten Release-Kanal und vier kostenpflichtige Funktionsfamilien. Enterprise ergänzt verhandelte Vertragsbedingungen. Für weitere Rechtsträger, Deployments oder Identitätsanbieter, Air-Gap, individuelles LTS, OEM/MSP oder Support-Ziele kontaktieren Sie uns zu Enterprise.
Jede öffentliche Version wird signiert, attestiert und dokumentiert ausgeliefert — überprüfen Sie die Integrität selbst.