Sécurité · Confiance
Chaque version publique est livrée signée, attestée et accompagnée d'un inventaire des composants logiciels — vous vérifiez la provenance et l'intégrité avec des outils publics au lieu de nous faire confiance. Le pipeline est construit et exercé en CI aujourd'hui ; ses preuves deviennent publiques avec la première version.
Chaîne d'approvisionnement
Le pipeline de release génère ces artefacts automatiquement. Aucune version publique n'existe encore — les éléments marqués « première version » deviennent vérifiables dès la publication de la première version taguée ; security.txt est en ligne aujourd'hui.
Chaque binaire de version est construit par GitHub Actions avec une attestation de provenance SLSA via slsa-github-generator. L'attestation prouve que le binaire a été construit à partir du code source validé, dans un environnement de compilation renforcé, sans intervention manuelle.
Comment fonctionne la vérificationLes artefacts de version sont signés avec Sigstore cosign (mode sans clé via Fulcio + Rekor). Vous pouvez vérifier les signatures sans que nous distribuions une clé publique — le registre de transparence est la racine de confiance.
Guide de vérificationChaque version inclut un SBOM aux formats CycloneDX et SPDX, listant chaque dépendance avec sa version et sa licence. Lisible par machine, auditable.
Comment vérifier le SBOMLes vulnérabilités connues et leur applicabilité à chaque version sont publiées sous forme de documents OpenVEX. Les déclarations VEX distinguent « affecté », « non affecté » et « en investigation ».
Comment les avis sont vérifiésUne politique de divulgation des vulnérabilités lisible par machine à /.well-known/security.txt, conforme à la RFC 9116. Inclut le contact, le lien vers la politique et la date d'expiration.
Voir security.txtArchitecture
L'état inconnu est refusé, pas autorisé. Chaque décision de politique utilise le refus par défaut — un moteur qui ne peut pas atteindre son magasin de politiques refuse toutes les requêtes plutôt que de fonctionner en mode ouvert.
Le registre d'audit est en ajout seul avec chaînage cryptographique. Les événements ne peuvent être modifiés ou supprimés silencieusement — toute altération brise la chaîne et est détectable.
Le moteur fonctionne entièrement dans votre environnement. La vérification de licence est hors ligne (vérification de signature Ed25519). Aucune télémétrie, aucun appel réseau obligatoire, aucun serveur d'activation.
RBAC et ABAC basés sur Cedar avec des autorisations limitées. Rôles personnalisés, plafonds de délégation et accès d'urgence avec double contrôle. L'ensemble de permissions par défaut est vide.
Conformité
Nous publions ce qui est en ligne, ce qui est construit et attend la première version publique, et ce qui n'est pas encore commencé. Nous ne revendiquons pas de certifications que nous n'avons pas obtenues.
RFC 9116 security.txt
Politique de divulgation des vulnérabilités lisible par machine, en ligne à /.well-known/security.txt.
SLSA Build Level 3
Attestation de provenance via slsa-github-generator — construite et exercée en CI ; publiée avec chaque version taguée.
SBOM (CycloneDX + SPDX)
Inventaire des composants logiciels généré pour chaque build de version.
Signatures cosign sans clé
Signature d'artefacts basée sur Sigstore via Fulcio + Rekor.
Avis OpenVEX
Déclarations d'applicabilité des vulnérabilités par version.
SOC 2 Type II
Planifié. Requis pour le cloud géré, pas pour l'auto-hébergement.
ISO 27001
Planifié. Calendrier non engagé.
Test de pénétration indépendant
Planifié. Sera publié une fois terminé.
Préparation par cadre
Le produit cartographie les capacités vers 25 catalogues de cadres de conformité. Ci-dessous la posture de préparation pour les cadres les plus demandés par les acheteurs enterprise. Chaque élément est une cartographie de préparation — pas une certification.
Cartographie des contrôles de l'Annexe A avec pointeurs de preuve. Non certifié.
Cartographie de préparation AIMS — le produit génère les preuves requises par un AIMS. Non certifié.
Cartographie des Trust Services Criteria (Security / Common Criteria). Non attesté.
Modèle de documentation technique Annexe IV. Le produit est un outil de gouvernance, pas lui-même un système de l'Annexe III.
Auto-évaluations CAIQ v4 et AI-CAIQ (AICM v1.0) préparées. Non soumises au STAR Registry.
Runbook RTBF avec crypto-shred, attestation de résidence, rétention et conservation légale. Auto-hébergé : le client est responsable et sous-traitant.
Cartographie des sous-catégories incluant le Profil IA Générative (AI 600-1).
Export de la vue des risques ICT ; le générateur de Registre d'Information est un add-on enterprise.
Cartographie des obligations avec posture de chaîne d'approvisionnement ICT et preuve de notification d'incidents.
Package de confiance
Le package de confiance est publié dans le dépôt source. Les acheteurs enterprise peuvent demander le package complet — y compris les questionnaires pré-remplis et le guide d'évaluation — via enterprise@olivares.ai.
Les fichiers disponibles sont des instantanés Markdown publics avec leur provenance. Les éléments sans source partageable restent disponibles sur demande.
CSA Cloud Controls Matrix v4 — 17 domaines avec pointeurs de preuve.
Télécharger (Markdown)CSA AI Controls Matrix v1.0 — 18 domaines incluant Model Security.
Télécharger (Markdown)33 réponses pré-vérifiées alignées sur SIG 2026, CSA AI-CAIQ et les questionnaires courants des acheteurs.
Télécharger (Markdown)Architecture orientée acheteur : trois zones de confiance, topologies de déploiement, HA/DR, dimensionnement.
Télécharger (Markdown)Preuve de valeur en 10 jours ouvrables — critères pass/fail contre le vrai binaire.
Télécharger (Markdown)Comparaison complète Community (AGPL) vs Enterprise — les 26 add-ons.
Télécharger (Markdown)Vérification du modèle de menaces avec preuve file:line — prêt pour le pentest.
Disponible sur demandeVoluntary Product Accessibility Template pour la console d'administration.
Télécharger (Markdown)Traitement des données
Olivares AI est un logiciel auto-hébergé. Le produit fonctionne entièrement dans votre infrastructure — les données ne quittent jamais votre périmètre. Il n'y a aucun sous-traitant des données clients. Les fournisseurs de LLM sont vos fournisseurs, pas les nôtres ; le produit les inventorie pour votre gestion des risques tiers.
Si une offre de cloud géré est introduite, les sous-traitants seront listés ici avant tout traitement de données.
Notre site web, nos licences et nos communications reposent sur :
Hébergement du site, DNS et protection anti-bot.
E-mails transactionnels et diffusion de la newsletter.
Marchand officiel pour les licences commerciales.
Hébergement du code source et communauté.
Nous n’utilisons aucun fournisseur d’analytique côté client et n’exécutons aucune analytique dans le navigateur.
Vérifiez vous-même
À partir de la première version publique, chaque affirmation d'artefact de cette page est vérifiable avec des outils publics — le script fourni parcourt les signatures, les attestations et l'intégrité du SBOM. Téléchargez d'abord les artefacts ; ne pipez jamais un installeur dans un shell.
# Livré avec la première version publique — téléchargez les artefacts
# de la version, puis exécutez le vérificateur fourni depuis ce répertoire :
scripts/verify-release.sh # sans clé (Sigstore)
scripts/verify-release.sh --key cosign.pub --offline # air-gap, aucun réseauLe script vérifie les signatures cosign, la provenance SLSA, ainsi que les attestations SBOM et OpenVEX. La chaîne de commandes manuelle complète est documentée dans le guide « Vérifier une release » de la documentation.
Déployez l'environnement de démonstration en cinq minutes, puis exécutez la preuve de valeur complète en 10 jours ouvrables. Le guide d'évaluation inclut des critères pass/fail contre le vrai binaire — pas de slides, pas de sandbox, pas d'environnement de démo différent de la production.
Pas encore. SOC 2 Type II est prévu pour l'offre cloud gérée. Nous sommes honnêtes sur notre posture : le pipeline de chaîne d'approvisionnement (SLSA L3, SBOM, cosign, OpenVEX) est construit, et ses preuves seront publiées avec la première version publique.
Pas encore. Un test de pénétration indépendant est prévu et sera publié une fois terminé.
Une fois la première version publique publiée : exécutez le script de vérification fourni (scripts/verify-release.sh) ou vérifiez manuellement avec cosign — chaque version porte une attestation de provenance SLSA et des signatures cosign, aucune confiance en nous requise. D'ici là, il n'existe aucun artefact public à vérifier, et cette page le dit au lieu de prétendre le contraire.
Olivares AI est auto-hébergé — vos données restent dans votre propre infrastructure. Le fournisseur ne voit, ne stocke et ne traite jamais vos données. Le cloud géré (quand disponible) offrira des engagements de résidence des données.
Le DPA est en cours de revue juridique. Il est disponible sur demande via enterprise@olivares.ai avant tout engagement impliquant le traitement de données personnelles.
Le produit cartographie 25 catalogues de cadres dont EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM et les lois étatiques américaines sur l'IA. Chaque cadre est constitué de données avec des preuves par contrôle — pas une affirmation de certification.
Compilez depuis les sources, lancez l'environnement de démonstration en cinq minutes et suivez le guide d'évaluation de 10 jours. Chaque critère est pass/fail contre le vrai binaire. Contactez enterprise@olivares.ai pour une licence d'évaluation enterprise qui déverrouille les 26 add-ons pendant le POV.
Le build AGPL est la plateforme complète — rien n'est retiré. Enterprise ajoute 26 capacités de mitigation de risques et d'opération à échelle (multi-IdP, pare-feu de contenu, rétention WORM, registre DORA, et plus) plus une exception légale au copyleft AGPL et un support avec SLA. La matrice complète des fonctionnalités est dans le package de confiance.
Chaque version publique est livrée signée, attestée et documentée — vérifiez l'intégrité vous-même. Les preuves sont publiques dès la première version.