Sicurezza · Fiducia
Ogni versione pubblica viene distribuita firmata, attestata e con un inventario dei componenti software — verificate provenienza e integrità con strumenti pubblici invece di fidarvi di noi. Gli artefatti di ogni versione pubblicata sono la prova.
Catena di fornitura
La pipeline di rilascio genera questi artefatti automaticamente, e ognuno di essi è in ogni versione taggata: scaricate gli artefatti e verificateli con strumenti pubblici.
Ogni binario di versione è costruito da GitHub Actions con attestazione di provenienza SLSA tramite slsa-github-generator. L'attestazione dimostra che il binario è stato costruito dal codice sorgente confermato, in un ambiente di build rinforzato, senza intervento manuale.
Come funziona la verificaIl manifesto dei checksum e l’immagine container sono firmati con Sigstore cosign (modalità senza chiave via Fulcio + Rekor); la release include uno SBOM SPDX e un documento OpenVEX, e l’insieme porta la provenienza SLSA — ciascuno verificato con il proprio percorso. Potete verificare senza che distribuiamo una chiave pubblica — il registro di trasparenza è la radice di fiducia.
Guida alla verificaOgni versione include un SBOM in formato SPDX, con l'elenco di ogni dipendenza con versione e licenza. Leggibile da macchina, verificabile.
Come verificare il SBOMLe vulnerabilità note e la loro applicabilità a ogni versione sono pubblicate come documenti OpenVEX. Le dichiarazioni VEX distinguono tra "interessato", "non interessato" e "in indagine".
Come vengono verificati gli avvisiUna politica di divulgazione delle vulnerabilità leggibile da macchina in /.well-known/security.txt, conforme alla RFC 9116. Include contatto, link alla politica e data di scadenza.
Visualizza security.txtArchitettura
Lo stato sconosciuto viene negato, non consentito. Ogni decisione di politica usa il rifiuto come default — un motore che non può raggiungere il suo archivio di politiche rifiuta tutte le richieste anziché funzionare in modalità aperta.
Il registro di audit è solo in aggiunta con concatenamento crittografico. Gli eventi non possono essere modificati o eliminati silenziosamente — la manomissione spezza la catena ed è rilevabile.
Il motore funziona interamente nel vostro ambiente. La verifica della licenza è offline (controllo firma Ed25519). Nessuna telemetria, nessuna chiamata di rete obbligatoria, nessun server di attivazione.
RBAC e ABAC basati su Cedar con concessioni limitate. Ruoli personalizzati, tetti di delega e accesso di emergenza con doppio controllo. L'insieme dei permessi predefiniti è vuoto. I ruoli personalizzati, le concessioni limitate e l’accesso di emergenza fanno parte di Business.
Conformità
Pubblichiamo ciò che è attivo e ciò che non è ancora iniziato. Non rivendichiamo certificazioni che non abbiamo ottenuto.
RFC 9116 security.txt
Politica di divulgazione delle vulnerabilità leggibile da macchina, attiva in /.well-known/security.txt.
SLSA Build Level 3
Attestazione di provenienza tramite slsa-github-generator — costruita ed esercitata in CI; viene pubblicata con ogni versione taggata.
SBOM (SPDX)
Inventario dei componenti software generato per ogni build di versione.
Firme cosign senza chiave
Firma di artefatti basata su Sigstore via Fulcio + Rekor.
Avvisi OpenVEX
Dichiarazioni di applicabilità delle vulnerabilità per versione.
SOC 2 Type II
Pianificato.
ISO 27001
Pianificato. Cronologia non impegnata.
Test di penetrazione indipendente
Pianificato. Sarà pubblicato al completamento.
Preparazione per framework
Business mappa le capacità su 26 cataloghi di framework di conformità. Di seguito la postura di preparazione per i framework più richiesti dagli acquirenti enterprise. Ogni elemento è una mappatura di preparazione — non una certificazione.
Mappatura dei controlli dell'Allegato A con puntatori di evidenza. Non certificato.
Mappatura di preparazione AIMS — il prodotto genera le evidenze richieste da un AIMS. Non certificato.
Mappatura dei Trust Services Criteria (Security / Common Criteria). Non attestato.
Modello di documentazione tecnica Allegato IV. Il prodotto è tooling di governance, non esso stesso un sistema dell'Allegato III.
Autovalutazioni CAIQ v4 e AI-CAIQ (AICM v1.0) preparate. Non inviate allo STAR Registry.
Runbook RTBF con crypto-shred, attestazione di residenza, conservazione e blocco legale. Self-hosted: il cliente è titolare e responsabile del trattamento.
Mappatura delle sottocategorie incluso il Profilo IA Generativa (AI 600-1).
Esportazione della vista dei rischi TIC; il generatore del registro delle informazioni è incluso in Compliance Packs di Business.
Mappatura degli obblighi con postura della catena di fornitura ICT ed evidenza di notifica degli incidenti.
Pacchetto di fiducia
Il pacchetto di fiducia è scaricabile da questo Trust Center ed è incluso nel repository pubblico del codice sorgente. Gli acquirenti enterprise possono richiedere il pacchetto completo — inclusi questionari precompilati e la guida di valutazione — tramite enterprise@olivares.ai.
I file disponibili sono snapshot Markdown pubblici. Ciascuno inizia con una riga di intestazione che riporta la data dello snapshot e il digest SHA-256 di tutto ciò che segue quella riga e la riga vuota successiva. Gli elementi senza una fonte condivisibile restano disponibili su richiesta.
CSA Cloud Controls Matrix v4 — 17 domini con puntatori di evidenza.
Scarica (Markdown)CSA AI Controls Matrix v1.0 — 18 domini incluso Model Security.
Scarica (Markdown)33 risposte pre-verificate allineate a SIG 2026, CSA AI-CAIQ e questionari comuni degli acquirenti.
Scarica (Markdown)Architettura orientata all'acquirente: tre zone di fiducia, topologie di deployment, HA/DR, dimensionamento.
Scarica (Markdown)Prova di valore in 10 giorni lavorativi — criteri pass/fail contro il vero binario.
Scarica (Markdown)Business include la licenza commerciale, il canale di release firmato e quattro famiglie di funzionalità: Regulated Operations, AI Runtime Security, Compliance Packs, Identity & Scale. Nulla è venduto separatamente.
Scarica (Markdown)Verifica del modello di minacce con evidenza file:line — pronto per il pentest.
Disponibile su richiestaVoluntary Product Accessibility Template per la console di amministrazione.
Scarica (Markdown)Trattamento dei dati
Olivares AI è software self-hosted. I dati di governance di Olivares — inventario, mappa degli accessi, stato delle policy ed evidenze di audit — restano per impostazione predefinita in un'infrastruttura sotto il vostro controllo, e non ci sono sub-responsabili del trattamento dei dati dei clienti. Le richieste verso i fornitori di modelli ospitati, e le destinazioni di output o telemetria che configurate, vanno ai fornitori che scegliete — fornitori vostri, non nostri; il prodotto li cataloga nell'inventario per la vostra gestione del rischio di terze parti. Olivares in sé non effettua alcuna chiamata obbligatoria verso l'esterno.
Il nostro sito, le licenze e le comunicazioni si basano su:
Hosting del sito, DNS e protezione anti-bot.
Consegna di email transazionali.
Merchant of record per le licenze commerciali.
Hosting del codice sorgente e community.
Non usiamo alcun provider di analytics lato client e non eseguiamo analytics nel browser.
Verificate voi stessi
Ottenete scripts/verify-release.sh da un checkout attendibile del codice sorgente del tag di release; non è un artefatto del rilascio. Eseguitelo dalla directory dei file scaricati. La verifica keyless richiede radici di fiducia Sigstore e accesso alla rete.
/path/to/olivares/scripts/verify-release.sh --source-tag <version>--source-tag <version> vincola solo la provenienza SLSA e richiede slsa-verifier. Il confronto dei checksum SHA-256 non richiede rete; autenticare il manifesto richiede comunque i controlli di firma. --offline evita la ricerca su Rekor, non tutte le dipendenze di rete. Firme keyless e attestazioni SBOM/OpenVEX richiedono le radici di fiducia Sigstore se non sono in cache; SLSA non ha un’opzione offline qui. I controlli saltati non sono verificati. Consultate i prerequisiti nella guida.
Distribuite l'ambiente demo in cinque minuti, poi eseguite la prova di valore completa in 10 giorni lavorativi. La guida di valutazione include criteri pass/fail contro il vero binario — niente slide, niente sandbox, nessun ambiente demo diverso dalla produzione.
Non ancora. Esistono mappature di preparazione per entrambi — SOC 2 (Trust Services Criteria) e ISO 27001 (controlli dell’Allegato A) — con riferimenti alle evidenze nel codice. Pubblichiamo la postura, non affermazioni.
Non ancora. Un test di penetrazione indipendente è pianificato e sarà pubblicato al completamento.
Ottenete scripts/verify-release.sh da un checkout attendibile del codice sorgente del tag di release; non è un artefatto del rilascio. La verifica keyless richiede radici di fiducia Sigstore e accesso alla rete. --source-tag <version> vincola il controllo di provenienza SLSA al tag <version>; richiede slsa-verifier ed è saltato se mancano lo strumento o la provenienza. I controlli predefiniti di firme e attestazioni SBOM/OpenVEX accettano qualsiasi tag di release del workflow di firma del progetto, non solo <version>. I controlli saltati non sono verificati. La guida descrive i prerequisiti e la verifica delle immagini di container.
Con il self-hosting, i dati di governance di Olivares (inventario, mappa degli accessi, stato delle policy ed evidenze di audit) restano per impostazione predefinita in un’infrastruttura sotto il vostro controllo. Le richieste ai fornitori di modelli ospitati che scegliete e i dati inviati alle destinazioni di output o telemetria che configurate vanno a quei servizi esterni. I servizi che utilizziamo per il sito web, le licenze e le comunicazioni sono elencati separatamente in questa pagina.
Sì — un DPA ai sensi dell'art. 28 GDPR è disponibile su richiesta tramite enterprise@olivares.ai per gli acquisti enterprise, anche in self-hosting, dove restate titolare e responsabile dei vostri dati.
Business mappa 26 cataloghi di framework tra cui EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM e leggi statali statunitensi sull'IA. Ogni framework è costituito da dati con evidenze per controllo — non un'affermazione di certificazione.
Installate una versione firmata o compilate dal codice sorgente, avviate l’ambiente demo in cinque minuti e seguite la guida di valutazione di 10 giorni. Ogni criterio è pass/fail contro il vero binario. Contattate enterprise@olivares.ai per una licenza di valutazione enterprise durante il POV.
Community è la piattaforma AGPL-3.0 completa e gratuita, con utenti illimitati e un provider di identità attivo. Business include la licenza commerciale, il canale di release firmato e quattro famiglie di funzionalità a pagamento. Enterprise aggiunge condizioni contrattuali negoziate. Per più persone giuridiche, deployment o provider di identità, air-gap, LTS personalizzato, OEM/MSP o obiettivi di supporto, contattaci per Enterprise.
Ogni versione pubblica viene distribuita firmata, attestata e documentata — verificate l’integrità voi stessi.