Sécurité · Confiance
Chaque version publique est livrée signée, attestée et accompagnée d’un inventaire des composants logiciels — vous vérifiez la provenance et l’intégrité avec des outils publics au lieu de nous faire confiance. Les artefacts de chaque version publiée sont la preuve.
Chaîne d'approvisionnement
Le pipeline de release génère ces artefacts automatiquement, et chacun d’eux est présent dans chaque version taguée : téléchargez les artefacts et vérifiez-les avec des outils publics.
Chaque binaire de version est construit par GitHub Actions avec une attestation de provenance SLSA via slsa-github-generator. L'attestation prouve que le binaire a été construit à partir du code source validé, dans un environnement de compilation renforcé, sans intervention manuelle.
Comment fonctionne la vérificationLe manifeste de checksums et l’image de conteneur sont signés avec Sigstore cosign (mode sans clé via Fulcio + Rekor) ; la version contient un SBOM SPDX et un document OpenVEX, et l’ensemble porte une provenance SLSA — chacun vérifié par sa propre chaîne. Vous pouvez vérifier sans que nous distribuions une clé publique — le registre de transparence est la racine de confiance.
Guide de vérificationChaque version inclut un SBOM au format SPDX, listant chaque dépendance avec sa version et sa licence. Lisible par machine, auditable.
Comment vérifier le SBOMLes vulnérabilités connues et leur applicabilité à chaque version sont publiées sous forme de documents OpenVEX. Les déclarations VEX distinguent « affecté », « non affecté » et « en investigation ».
Comment les avis sont vérifiésUne politique de divulgation des vulnérabilités lisible par machine à /.well-known/security.txt, conforme à la RFC 9116. Inclut le contact, le lien vers la politique et la date d'expiration.
Voir security.txtArchitecture
L'état inconnu est refusé, pas autorisé. Chaque décision de politique utilise le refus par défaut — un moteur qui ne peut pas atteindre son magasin de politiques refuse toutes les requêtes plutôt que de fonctionner en mode ouvert.
Le registre d'audit est en ajout seul avec chaînage cryptographique. Les événements ne peuvent être modifiés ou supprimés silencieusement — toute altération brise la chaîne et est détectable.
Le moteur fonctionne entièrement dans votre environnement. La vérification de licence est hors ligne (vérification de signature Ed25519). Aucune télémétrie, aucun appel réseau obligatoire, aucun serveur d'activation.
RBAC et ABAC basés sur Cedar avec des autorisations limitées. Rôles personnalisés, plafonds de délégation et accès d'urgence avec double contrôle. L'ensemble de permissions par défaut est vide. Les rôles personnalisés, les autorisations limitées et l’accès d’urgence relèvent de Business.
Conformité
Nous publions ce qui est en ligne et ce qui n’est pas encore commencé. Nous ne revendiquons pas de certifications que nous n’avons pas obtenues.
RFC 9116 security.txt
Politique de divulgation des vulnérabilités lisible par machine, en ligne à /.well-known/security.txt.
SLSA Build Level 3
Attestation de provenance via slsa-github-generator — construite et exercée en CI ; publiée avec chaque version taguée.
SBOM (SPDX)
Inventaire des composants logiciels généré pour chaque build de version.
Signatures cosign sans clé
Signature d'artefacts basée sur Sigstore via Fulcio + Rekor.
Avis OpenVEX
Déclarations d'applicabilité des vulnérabilités par version.
SOC 2 Type II
Planifié.
ISO 27001
Planifié. Calendrier non engagé.
Test de pénétration indépendant
Planifié. Sera publié une fois terminé.
Préparation par cadre
Business cartographie les capacités vers 26 catalogues de cadres de conformité. Ci-dessous la posture de préparation pour les cadres les plus demandés par les acheteurs enterprise. Chaque élément est une cartographie de préparation — pas une certification.
Cartographie des contrôles de l'Annexe A avec pointeurs de preuve. Non certifié.
Cartographie de préparation AIMS — le produit génère les preuves requises par un AIMS. Non certifié.
Cartographie des Trust Services Criteria (Security / Common Criteria). Non attesté.
Modèle de documentation technique Annexe IV. Le produit est un outil de gouvernance, pas lui-même un système de l'Annexe III.
Auto-évaluations CAIQ v4 et AI-CAIQ (AICM v1.0) préparées. Non soumises au STAR Registry.
Runbook RTBF avec crypto-shred, attestation de résidence, rétention et conservation légale. Auto-hébergé : le client est responsable et sous-traitant.
Cartographie des sous-catégories incluant le Profil IA Générative (AI 600-1).
Export de la vue des risques TIC ; le générateur du registre d’information est inclus dans Compliance Packs de Business.
Cartographie des obligations avec posture de chaîne d'approvisionnement ICT et preuve de notification d'incidents.
Package de confiance
Le package de confiance est téléchargeable depuis ce Centre de confiance et il est inclus dans le dépôt source public. Les acheteurs enterprise peuvent demander le package complet — y compris les questionnaires pré-remplis et le guide d’évaluation — via enterprise@olivares.ai.
Les fichiers disponibles sont des instantanés Markdown publics. Chacun commence par une ligne d’en-tête qui indique la date de son instantané et l’empreinte SHA-256 de tout ce qui suit cette ligne et la ligne vide placée après elle. Les éléments sans source partageable restent disponibles sur demande.
CSA Cloud Controls Matrix v4 — 17 domaines avec pointeurs de preuve.
Télécharger (Markdown)CSA AI Controls Matrix v1.0 — 18 domaines incluant Model Security.
Télécharger (Markdown)33 réponses pré-vérifiées alignées sur SIG 2026, CSA AI-CAIQ et les questionnaires courants des acheteurs.
Télécharger (Markdown)Architecture orientée acheteur : trois zones de confiance, topologies de déploiement, HA/DR, dimensionnement.
Télécharger (Markdown)Preuve de valeur en 10 jours ouvrables — critères pass/fail contre le vrai binaire.
Télécharger (Markdown)Business inclut la licence commerciale, le canal de versions signé et quatre familles de capacités : Regulated Operations, AI Runtime Security, Compliance Packs, Identity & Scale. Rien n’est vendu séparément.
Télécharger (Markdown)Vérification du modèle de menaces avec preuve file:line — prêt pour le pentest.
Disponible sur demandeVoluntary Product Accessibility Template pour la console d'administration.
Télécharger (Markdown)Traitement des données
Olivares AI est un logiciel auto-hébergé. Les données de gouvernance d'Olivares — inventaire, carte des accès, état des politiques et preuves d'audit — restent par défaut dans une infrastructure que vous contrôlez, et il n'y a aucun sous-traitant ultérieur des données clients. Les requêtes vers les fournisseurs de modèles hébergés, et les destinations de sortie ou de télémétrie que vous configurez, vont vers les fournisseurs que vous choisissez — vos fournisseurs, pas les nôtres ; le produit les catalogue dans l'inventaire pour votre gestion des risques tiers. Olivares lui-même n'émet aucun appel obligatoire vers l'extérieur.
Notre site web, nos licences et nos communications reposent sur :
Hébergement du site, DNS et protection anti-bot.
E-mails transactionnels.
Merchant of record pour les licences commerciales.
Hébergement du code source et communauté.
Nous n’utilisons aucun fournisseur d’analytique côté client et n’exécutons aucune analytique dans le navigateur.
Vérifiez vous-même
Obtenez scripts/verify-release.sh depuis un checkout de confiance du code source du tag de publication ; ce script ne fait pas partie des artefacts publiés. Exécutez-le depuis le répertoire des fichiers téléchargés. La vérification keyless nécessite les racines de confiance Sigstore et un accès réseau.
/path/to/olivares/scripts/verify-release.sh --source-tag <version>--source-tag <version> fixe uniquement la provenance SLSA et nécessite slsa-verifier. Comparer les sommes SHA-256 ne nécessite pas de réseau ; authentifier le manifeste nécessite toujours les vérifications de signature. --offline évite la consultation de Rekor, pas toutes les dépendances réseau. Les signatures keyless et les attestations SBOM/OpenVEX nécessitent les racines de confiance Sigstore si elles ne sont pas en cache ; SLSA n’a pas d’option offline ici. Les étapes ignorées ne sont pas vérifiées. Consultez les prérequis dans le guide.
Déployez l'environnement de démonstration en cinq minutes, puis exécutez la preuve de valeur complète en 10 jours ouvrables. Le guide d'évaluation inclut des critères pass/fail contre le vrai binaire — pas de slides, pas de sandbox, pas d'environnement de démo différent de la production.
Pas encore. Des cartographies de préparation existent pour les deux — SOC 2 (Trust Services Criteria) et ISO 27001 (contrôles de l'Annexe A) — avec des pointeurs de preuve vers le code. Nous publions notre posture, pas des affirmations.
Pas encore. Un test de pénétration indépendant est prévu et sera publié une fois terminé.
Obtenez scripts/verify-release.sh depuis un checkout de confiance du code source du tag de publication ; ce script ne fait pas partie des artefacts publiés. La vérification keyless nécessite les racines de confiance Sigstore et un accès réseau. --source-tag <version> fixe la vérification de provenance SLSA au tag <version> ; elle nécessite slsa-verifier et est ignorée si cet outil ou la provenance manque. Les vérifications par défaut des signatures et attestations SBOM/OpenVEX acceptent tout tag de release du workflow de signature du projet, pas seulement <version>. Les étapes ignorées ne sont pas vérifiées. Le guide décrit les prérequis et la vérification des images de conteneur.
En auto-hébergement, les données de gouvernance d’Olivares (inventaire, carte des accès, état des politiques et preuves d’audit) restent par défaut dans une infrastructure que vous contrôlez. Les requêtes aux fournisseurs de modèles hébergés que vous choisissez et les données envoyées aux destinations de sortie ou de télémétrie que vous configurez vont vers ces services externes. Les services que nous utilisons pour le site web, les licences et les communications sont présentés séparément sur cette page.
Oui — un DPA au titre de l’art. 28 du RGPD est disponible sur demande via enterprise@olivares.ai pour les achats enterprise, même en auto-hébergement, où vous restez responsable et sous-traitant de vos propres données.
Business cartographie 26 catalogues de cadres dont EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM et les lois étatiques américaines sur l'IA. Chaque cadre est constitué de données avec des preuves par contrôle — pas une affirmation de certification.
Installez une version signée ou compilez depuis les sources, lancez l’environnement de démonstration en cinq minutes et suivez le guide d’évaluation de 10 jours. Chaque critère est pass/fail contre le vrai binaire. Contactez enterprise@olivares.ai pour une licence d’évaluation enterprise pendant le POV.
Community est la plateforme AGPL-3.0 complète et gratuite, sans limite d’utilisateurs, avec un fournisseur d’identité actif. Business inclut la licence commerciale, le canal de versions signé et quatre familles de capacités payantes. Enterprise ajoute un contrat négocié. Pour davantage d’entités, de déploiements ou de fournisseurs d’identité, air-gap, LTS sur mesure, OEM/MSP ou des objectifs de support, contactez-nous pour Enterprise.
Chaque version publique est livrée signée, attestée et documentée — vérifiez l’intégrité vous-même.