ライブ
SLSA Build Level 3
各リリースバイナリはGitHub Actionsにより、slsa-github-generatorを介したSLSA出所証明とともにビルドされます。証明は、バイナリがコミットされたソースから、強化されたビルド環境で、手動介入なしにビルドされたことを証明します。
検証の仕組みセキュリティ · 信頼
信頼ではなく、検証を。
すべての公開リリースは署名、証明され、ソフトウェア部品表とともに出荷されます — 私たちを信頼するのではなく、公開ツールで出所と完全性を検証できます。公開された各リリースのアーティファクトが証拠です。
サプライチェーン
すべてのリリースに同梱されるもの
リリースパイプラインはこれらのアーティファクトを自動生成し、そのすべてが各タグ付きリリースに含まれています。アーティファクトをダウンロードし、公開ツールで検証してください。
ライブ
キーレスcosign署名
checksums マニフェストとコンテナイメージは Sigstore cosign（Fulcio + Rekor によるキーレスモード）で署名されます。リリースには SPDX SBOM と OpenVEX ドキュメントが含まれ、セット全体は SLSA 出所証明を持ち、それぞれ固有の経路で検証されます。公開鍵を配布する必要なく検証できます — 透明性ログが信頼のルートです。
検証ガイド ライブ
ソフトウェア部品表
各リリースにはSPDX形式のSBOMが含まれ、すべての依存関係とそのバージョン、ライセンスが記載されています。機械可読、監査可能。
SBOMの検証方法 ライブ
OpenVEXアドバイザリ
既知の脆弱性とその各リリースへの適用可能性はOpenVEXドキュメントとして公開されます。VEXステートメントは「影響あり」「影響なし」「調査中」を区別します。
アドバイザリの検証方法 ライブ
security.txt (RFC 9116)
RFC 9116に準拠した、/.well-known/security.txtにある機械可読の脆弱性開示ポリシー。連絡先、ポリシーリンク、有効期限を含みます。
security.txtを表示アーキテクチャ
セキュリティ・バイ・デザイン
Deny-closed
不明な状態は許可ではなく拒否されます。すべてのポリシー決定はデフォルトで拒否 — ポリシーストアに到達できないエンジンは、オープンフェイルするのではなく、すべてのリクエストを拒否します。
追記専用監査
監査台帳は暗号的チェーンを持つ追記専用です。イベントは黙って変更または削除できません — 改ざんはチェーンを破壊し、検出可能です。
外部通信なし
エンジンはお客様の環境内で完全に動作します。ライセンス検証はオフライン（Ed25519署名チェック）です。テレメトリなし、必須のネットワーク呼び出しなし、アクティベーションサーバーなし。
最小権限
CedarベースのRBACとABAC（スコープ付き付与）。カスタムロール、委任上限、デュアルコントロール付きブレークグラス。デフォルトの権限セットは空です。カスタムロール、スコープ付き付与、ブレークグラスはBusinessです。
コンプライアンス
コンプライアンス状況
ライブなものと、まだ開始していないものを公開しています。取得していない認証を主張しません。
現在ライブ
-
RFC 9116 security.txt
機械可読の脆弱性開示ポリシー。/.well-known/security.txtでライブです。
-
SLSA Build Level 3
slsa-github-generatorを介した出所証明 — 構築済みでCIで実行されており、タグ付きリリースごとに公開されます。
-
SBOM (SPDX)
すべてのリリースビルドで生成されるソフトウェア部品表。
-
キーレスcosign署名
Fulcio + Rekorを介したSigstoreベースのアーティファクト署名。
-
OpenVEXアドバイザリ
リリースごとの脆弱性適用可能性ステートメント。
計画中
-
SOC 2 Type II
計画中。
-
ISO 27001
計画中。スケジュール未確定。
-
独立ペネトレーションテスト
計画中。完了次第公開予定。
フレームワーク準備状況
コンプライアンス態勢
Businessは26のコンプライアンスフレームワークカタログに対して機能をマッピングしています。以下はエンタープライズバイヤーから最もリクエストの多いフレームワークの準備態勢です。各項目は準備マッピングであり、認証ではありません。
準備マッピング済み
ISO/IEC 27001:2022
附属書Aコントロールマッピングとエビデンスポインター。未認証。
準備マッピング済み
ISO/IEC 42001:2023
AIMS準備マッピング — 本製品はAIMSが必要とするエビデンスを生成します。未認証。
準備マッピング済み
SOC 2 Type II
Trust Services Criteria（Security / Common Criteria）マッピング。未認証。
準備マッピング済み
EU AI Act
附属書IV技術文書テンプレート。本製品はガバナンスツールであり、附属書IIIシステムではありません。
準備マッピング済み
CSA STAR / AICM
CAIQ v4およびAI-CAIQ（AICM v1.0）自己評価を準備済み。STAR Registryには未提出。
準備マッピング済み
GDPR
crypto-shred付きRTBFランブック、レジデンシー証明、保持および法的保持。セルフホスト：顧客がコントローラーかつプロセッサー。
準備マッピング済み
NIST AI RMF 1.0
生成AIプロファイル（AI 600-1）を含むサブカテゴリーマッピング。
部分的
DORA
ICT リスクビューをエクスポートできます。情報登録簿ジェネレーターは Business の Compliance Packs に含まれます。
準備マッピング済み
NIS 2指令
ICTサプライチェーン態勢およびインシデント報告エビデンス付きの義務マッピング。
トラストパッケージ
デューデリジェンス文書
トラストパッケージはこのトラストセンターからダウンロードでき、公開ソースリポジトリにも同梱されています。エンタープライズバイヤーは、事前記入済みのアンケートや評価ガイドを含む完全なパッケージを enterprise@olivares.ai 宛てにリクエストできます。
公開可能なファイルはMarkdownスナップショットです。各ファイルの先頭にはヘッダー行があり、スナップショットの日付と、その行と直後の空行より後ろにある内容全体の SHA-256 ダイジェストが記載されています。共有可能なソースがない項目は、引き続きリクエストに応じて提供します。
商用
機能マトリックス
Business は商用ライセンス、署名付きリリースチャネル、4つの機能群（Regulated Operations, AI Runtime Security, Compliance Packs, Identity & Scale）を含みます。個別販売はありません。
ダウンロード（Markdown） セキュリティ
ハードニングガイド
file:lineエビデンスによる脅威モデル検証 — ペネトレーションテスト対応。
リクエストに応じて提供データ処理
サブプロセッサー
Olivares AIはセルフホストソフトウェアです。Olivaresのガバナンスデータ — インベントリ、アクセスマップ、ポリシー状態、監査エビデンス — は、既定でお客様が管理するインフラストラクチャ内にとどまり、顧客データのサブプロセッサーは存在しません。ホスト型モデルプロバイダーへのリクエストや、お客様が設定した出力先・テレメトリー送信先は、お客様が選んだベンダーに送られます — それは当社ではなくお客様のベンダーであり、製品はサードパーティリスク管理のためにそれらをインベントリにカタログ化します。Olivares自体に必須の外部通信はありません。
ベンダーサービス
当社のWebサイト、ライセンス、コミュニケーションには以下を利用しています。
Cloudflare
稼働中Webサイトのホスティング、DNS、ボット対策。
Resend
稼働中トランザクションメールの配信。
Dodo Payments
稼働中商用ライセンスのMerchant of Record。
GitHub
稼働中ソースコードのホスティングとコミュニティ。
クライアント側の分析プロバイダーは使用せず、ブラウザ内分析も実行しません。
ご自身で検証
私たちの言葉を鵜呑みにしないでください
リリースタグの信頼できるソースチェックアウトから scripts/verify-release.sh を取得してください。これはリリース成果物には含まれません。ダウンロードしたファイルのディレクトリで実行します。キーレス検証には Sigstore の信頼ルートとネットワークアクセスが必要です。
/path/to/olivares/scripts/verify-release.sh --source-tag <version>--source-tag <version> が固定するのは SLSA 来歴だけで、slsa-verifier が必要です。SHA-256 チェックサムの比較にネットワークは不要ですが、マニフェストの認証には署名検証が必要です。--offline は Rekor 参照を省くだけです。キーレス署名と SBOM/OpenVEX 証明にはキャッシュ済みでなければ Sigstore 信頼ルートが必要で、ここでの SLSA 検証にオフラインオプションはありません。スキップされた検証は未検証です。前提条件はガイドを参照してください。
エンタープライズ評価
デモ環境を5分でデプロイし、10営業日で完全な価値実証を実行します。評価ガイドには実際のバイナリに対するpass/fail基準が含まれます — スライドなし、サンドボックスなし、本番環境と異なるデモ環境なし。
信頼に関する質問
SOC 2またはISO 27001はありますか？
まだありません。SOC 2（Trust Services Criteria）と ISO 27001（附属書Aの管理策）の両方について、コードベース内の証跡への参照を伴う準備状況マッピングがあります。主張ではなく現状を公開します。
製品のペネトレーションテストは実施済みですか？
まだです。独立したペネトレーションテストが計画されており、完了次第公開されます。
リリースが正規のものであることをどう確認しますか？
リリースタグの信頼できるソースチェックアウトから scripts/verify-release.sh を取得してください。キーレス検証には Sigstore の信頼ルートとネットワークアクセスが必要です。--source-tag <version> は SLSA 来歴の検証をタグ <version> に固定します。この検証には slsa-verifier が必要で、ツールまたは来歴がなければスキップされます。既定の署名と SBOM/OpenVEX 証明の検証は、<version> だけでなく、プロジェクトの署名ワークフローのすべてのリリースタグを受け入れます。スキップされた検証は未検証です。前提条件とコンテナイメージの検証はガイドを参照してください。
データはどこに保存されますか？
セルフホストでは、Olivaresのガバナンスデータ（インベントリ、アクセスマップ、ポリシー状態、監査エビデンス）は、既定でお客様が管理するインフラストラクチャ内に保存されます。お客様が選んだホスト型モデルプロバイダーへのリクエストや、お客様が設定した出力先・テレメトリー送信先へのデータは、それらの外部サービスに送信されます。当社がウェブサイト、ライセンス、連絡に利用するサービスは、このページに別途記載しています。
DPAは利用できますか？
はい — GDPR第28条のDPAは、エンタープライズ調達向けに enterprise@olivares.ai へのリクエストに応じて提供します。セルフホストでも、お客様が自身のデータの管理者かつ処理者であり続ける場合にも締結できます。
製品はどのコンプライアンスフレームワークをサポートしていますか？
BusinessはEU AI Act、NIST AI RMF、ISO 42001、SOC 2、ISO 27001、GDPR、NIS 2、DORA、OWASP Agentic、CSA AICMおよび米国各州のAI法を含む26のフレームワークカタログをマッピングしています。各フレームワークはコントロールごとのエビデンスを持つデータであり、認証の主張ではありません。
製品をどのように評価しますか？
署名済みリリースをインストールするかソースからビルドし、5分でデモ環境を起動し、10日間の評価ガイドに従ってください。すべての基準は実際のバイナリに対するpass/failです。POV 期間中のエンタープライズ評価ライセンスについてはenterprise@olivares.aiにお問い合わせください。
CommunityとEnterpriseの違いは何ですか？
Community は完全な無料の AGPL-3.0 プラットフォームで、ユーザー数無制限、有効なアイデンティティプロバイダー1件です。Business は商用ライセンス、署名付きリリースチャネル、有料の4つの機能群を含みます。Enterprise は個別協議の契約条件を追加します。法人、デプロイメント、アイデンティティプロバイダーの追加、air-gap、独自 LTS、OEM/MSP、サポート目標が必要な場合は Enterprise についてお問い合わせください。