Seguridad · Confianza
Cada versión pública se publica firmada, atestiguada y con un inventario de componentes de software — verificas la procedencia y la integridad con herramientas públicas en lugar de fiarte de nosotros. Los artefactos de cada versión publicada son la evidencia.
Cadena de suministro
El pipeline de release genera estos artefactos automáticamente, y todos ellos están en cada versión etiquetada: descarga los artefactos y verifícalos con herramientas públicas.
Los binarios de versión se construyen con GitHub Actions con atestación de procedencia SLSA mediante slsa-github-generator. La atestación demuestra que el binario se generó a partir del código fuente confirmado, en un entorno de compilación reforzado, sin intervención manual.
Cómo funciona la verificaciónEl manifiesto de checksums y la imagen de contenedor se firman con Sigstore cosign (modo sin clave vía Fulcio + Rekor); la versión incluye un SBOM SPDX y un documento OpenVEX, y el conjunto lleva procedencia SLSA, cada uno verificado por su propia ruta. Puedes verificar sin que distribuyamos una clave pública: el registro de transparencia es la raíz de confianza.
Guía de verificaciónCada versión incluye un SBOM en formato SPDX, con el listado de cada dependencia, su versión y licencia. Legible por máquina, auditable.
Cómo verificar el SBOMLas vulnerabilidades conocidas y su aplicabilidad a cada versión se publican como documentos OpenVEX. Las declaraciones VEX distinguen entre "afectado", "no afectado" y "en investigación".
Cómo se verifican los avisosUna política de divulgación de vulnerabilidades legible por máquina en /.well-known/security.txt, conforme a RFC 9116. Incluye contacto, enlace a la política y fecha de caducidad.
Ver security.txtArquitectura
El estado desconocido se deniega, no se permite. Cada decisión de política usa denegación por defecto: un motor que no puede alcanzar su almacén de políticas rechaza todas las solicitudes en lugar de fallar en abierto.
El libro de auditoría es de solo anexión con encadenamiento criptográfico. Los eventos no pueden modificarse ni eliminarse silenciosamente: la manipulación rompe la cadena y es detectable.
El motor se ejecuta completamente en tu entorno. La verificación de licencia es offline (comprobación de firma Ed25519). Sin telemetría, sin llamadas de red obligatorias, sin servidor de activación.
RBAC y ABAC basados en Cedar con concesiones acotadas. Roles personalizados, techos de delegación y acceso de emergencia con doble control. El conjunto de permisos por defecto está vacío. Los roles personalizados, las concesiones acotadas y el acceso de emergencia son Business.
Cumplimiento
Publicamos lo que está vivo y lo que aún no hemos comenzado. No reclamamos certificaciones que no hayamos obtenido.
RFC 9116 security.txt
Política de divulgación de vulnerabilidades legible por máquina, viva en /.well-known/security.txt.
SLSA Build Level 3
Atestación de procedencia mediante slsa-github-generator — construida y ejercitada en CI; se publica con cada versión etiquetada.
SBOM (SPDX)
Inventario de componentes de software generado en cada build de versión.
Firmas cosign sin clave
Firma de artefactos basada en Sigstore vía Fulcio + Rekor.
Avisos OpenVEX
Declaraciones de aplicabilidad de vulnerabilidades por versión.
SOC 2 Type II
Planificado.
ISO 27001
Planificado. Calendario sin comprometer.
Test de penetración independiente
Planificado. Se publicará cuando se complete.
Postura por marco
Business mapea capacidades a 26 catálogos de marcos de cumplimiento. A continuación se muestra la postura de preparación para los marcos más solicitados por compradores enterprise. Cada elemento es un mapeo de preparación, no una certificación.
Mapeo de controles del Anexo A con punteros a evidencia. No certificado.
Mapeo de preparación AIMS — el producto genera la evidencia que un AIMS necesita. No certificado.
Mapeo de Trust Services Criteria (Security / Common Criteria). Sin atestación.
Plantilla de documentación técnica Anexo IV. El producto es tooling de gobernanza, no un sistema del Anexo III.
Autoevaluaciones CAIQ v4 y AI-CAIQ (AICM v1.0) preparadas. No enviadas al STAR Registry.
Runbook RTBF con crypto-shred, atestación de residencia, retención y retención legal. Self-hosted: el cliente es responsable y encargado del tratamiento.
Mapeo de subcategorías incluyendo el Perfil de IA Generativa (AI 600-1).
Exportación de la vista de riesgos TIC; el generador del registro de información está incluido en Compliance Packs de Business.
Mapeo de obligaciones con postura de cadena de suministro ICT y evidencia de notificación de incidentes.
Paquete de confianza
El paquete de confianza se puede descargar desde este Centro de confianza y se incluye en el repositorio público del código fuente. Los compradores enterprise pueden solicitar el paquete completo — incluyendo cuestionarios prerrellenados y la guía de evaluación — vía enterprise@olivares.ai.
Los archivos disponibles son instantáneas Markdown públicas. Cada uno empieza con una línea de cabecera que indica la fecha de su instantánea y el digest SHA-256 de todo lo que sigue a esa línea y a la línea en blanco posterior. Los elementos sin una fuente compartible siguen disponibles bajo petición.
CSA Cloud Controls Matrix v4 — 17 dominios con punteros a evidencia.
Descargar (Markdown)CSA AI Controls Matrix v1.0 — 18 dominios incluyendo Model Security.
Descargar (Markdown)33 respuestas pre-verificadas alineadas a SIG 2026, CSA AI-CAIQ y cuestionarios habituales de comprador.
Descargar (Markdown)Arquitectura para el comprador: tres zonas de confianza, topologías de despliegue, HA/DR, dimensionamiento.
Descargar (Markdown)Prueba de valor en 10 días laborables — criterios pass/fail contra el binario real.
Descargar (Markdown)Business incluye la licencia comercial, el canal de releases firmado y cuatro familias de capacidades: Regulated Operations, AI Runtime Security, Compliance Packs, Identity & Scale. Nada se vende por separado.
Descargar (Markdown)Verificación del modelo de amenazas con evidencia file:line — listo para pentest.
Disponible bajo peticiónVoluntary Product Accessibility Template para la consola de administración.
Descargar (Markdown)Tratamiento de datos
Olivares AI es software self-hosted. Los datos de gobierno de Olivares — inventario, mapa de acceso, estado de políticas y evidencia de auditoría — se quedan por defecto en infraestructura que tú controlas, y no hay sub-encargados del tratamiento de datos del cliente. Las peticiones a proveedores de modelos gestionados, y los destinos de salida o telemetría que configures, van a los proveedores que tú eliges — son tus proveedores, no los nuestros; el producto los cataloga en el inventario para tu gestión de riesgos de terceros. Olivares no hace ninguna llamada a casa obligatoria.
Nuestro sitio web, licencias y comunicaciones funcionan sobre:
Alojamiento web, DNS y protección antibot.
Correo transaccional.
Merchant of record para licencias comerciales.
Alojamiento del código fuente y comunidad.
No utilizamos ningún proveedor de analítica del lado del cliente ni ejecutamos analítica en el navegador.
Veríficalo tú mismo
Obtén scripts/verify-release.sh de un checkout de confianza del código fuente de la etiqueta de release; no es un artefacto del release. Ejecútalo desde el directorio de los archivos descargados. La verificación sin clave necesita material de raíz de confianza de Sigstore y acceso a la red.
/path/to/olivares/scripts/verify-release.sh --source-tag <version>--source-tag <version> fija solo la procedencia SLSA y requiere slsa-verifier. Comparar checksums SHA-256 no necesita red; autenticar el manifiesto requiere comprobar su firma. --offline evita la consulta a Rekor, no todas las dependencias de red. Las firmas sin clave y las atestaciones SBOM/OpenVEX necesitan material de raíz de confianza de Sigstore salvo que esté en caché; aquí SLSA no tiene opción offline. Las comprobaciones omitidas no están verificadas. Consulta los requisitos en la guía.
Despliega el estate de demostración en cinco minutos y luego ejecuta la prueba de valor completa en 10 días laborables. La guía de evaluación incluye criterios pass/fail contra el binario real — sin slides, sin sandbox, sin entorno de demo diferente al de producción.
Todavía no. Existen mapeos de preparación para ambos — SOC 2 (Trust Services Criteria) e ISO 27001 (controles del Anexo A) — con punteros a evidencia en el código. Publicamos postura, no afirmaciones.
Todavía no. El programa está comprometido con alcance, cadencia y presupuesto documentados. El primer test independiente está planificado para después del lanzamiento; los resultados se publicarán.
Obtén scripts/verify-release.sh de un checkout de confianza del código fuente de la etiqueta de release; no es un artefacto del release. La verificación sin clave necesita material de raíz de confianza de Sigstore y acceso a la red. --source-tag <version> fija la comprobación de procedencia SLSA al tag <version>; requiere slsa-verifier y se omite si falta esa herramienta o la procedencia. Las comprobaciones por defecto de firmas y atestaciones SBOM/OpenVEX aceptan cualquier tag de release del workflow de firma del proyecto, no solo <version>. Las comprobaciones omitidas no están verificadas. Consulta la guía para los requisitos y la verificación de imágenes de contenedor.
En una instalación autohospedada, los datos de gobierno de Olivares (inventario, mapa de acceso, estado de políticas y evidencia de auditoría) permanecen por defecto en infraestructura que tú controlas. Las peticiones a los proveedores de modelos gestionados que eliges y los datos enviados a los destinos de salida o telemetría que configures van a esos servicios externos. Los servicios que usamos para la web, las licencias y las comunicaciones se enumeran por separado en esta página.
Sí — hay un DPA del Art. 28 del RGPD disponible bajo petición a través de enterprise@olivares.ai para compras enterprise, incluso en self-hosted, donde sigues siendo el responsable y el encargado de tus propios datos.
Business mapea 26 catálogos de marcos incluyendo EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM y leyes estatales de IA de EE.UU. Cada marco es dato con evidencia por control, no una afirmación de certificación.
Instala una versión firmada o compila desde el código fuente, arranca el estate de demostración en cinco minutos y sigue la guía de evaluación de 10 días. Cada criterio es pass/fail contra el binario real. Contacta con enterprise@olivares.ai para una licencia de evaluación enterprise durante la POV.
Community es la plataforma AGPL-3.0 completa y gratuita, con usuarios ilimitados y un proveedor de identidad activo. Business incluye la licencia comercial, el canal de releases firmado y cuatro familias de capacidades de pago. Enterprise añade condiciones contractuales negociadas. Para más entidades legales, despliegues o proveedores de identidad, air-gap, LTS personalizado, OEM/MSP u objetivos de soporte, contacta por Enterprise.
Cada versión pública se publica firmada, atestiguada y documentada — verifica la integridad tú mismo.