보안 · 신뢰

설계 단계부터 셀프 호스팅. 거버넌스 데이터는 귀사가 통제하는 인프라에 남습니다.

Olivares는 관리 세션의 프롬프트와 출력을 처리합니다. I/O 레코더는 각 프레임의 SHA-256 다이제스트와 길이를 체인에 반영해 감사 원장에 연결하며, 프레임 내용 자체는 저장하지 않습니다.

데이터 처리

우리가 다루는 것, 그리고 여러분 곁에 남는 것

세션은 프롬프트와 출력을 처리합니다. 기록은 다이제스트를 증거로 남기며 내용 자체는 저장하지 않습니다. 거버넌스 데이터는 기본적으로 사용자의 인프라에 남습니다. 제공업체 도구는 호스트의 구성 디렉터리에 자체 대화 기록을 저장하며, 세션을 해제해도 삭제되지 않습니다. 호스팅 제공업체는 세션이 보내는 정보를 받습니다. 통신 채널 메시지는 해당 채널에 구성된 콘텐츠 보호를 적용해 저장됩니다.

고객 인프라에서 실행

셀프호스팅은 서버와 저장 공간을 직접 관리하게 합니다. 호스팅 모델 호출, 연결한 소스와 구성한 내보내기는 네트워크 경계를 넘을 수 있습니다.

세션 기록 증거

기록은 SHA-256 다이제스트와 프레임 길이를 변조 탐지 가능한 체인에 반영해 감사 원장에 연결하며, 프롬프트나 출력 바이트는 저장하지 않습니다. 중요 실행에서는 자동으로 기록하며 정책이나 운영자가 요청할 수도 있습니다.

비밀 값 마스킹

구성된 비밀 저장소의 값은 출력이 레코더에 도달하기 전에 가려집니다. 프롬프트, 출력, 제공업체 대화 기록과 저장된 통신 메시지에는 개인 데이터가 포함될 수 있습니다. 제공업체 도구는 이 마스킹 경로 밖에서 자체 대화 기록을 작성합니다.

탐색과 에이전트 작업

수동적 탐지는 구성한 소스를 읽습니다. 관리되는 에이전트는 도구로 작업을 수행할 수 있습니다. 실행 전에 권한, 정책과 자격 증명을 검토하세요.

네트워크 대상

예를 들어 Business 라이선스 활성화와 갱신은 라이선스 서비스에 접속합니다. 호스팅 제공업체와 구성된 통합도 네트워크를 사용합니다. 자체 호스팅이 이러한 작업을 오프라인으로 만들지는 않습니다.

보존 설정의 범위

기록과 감사 원장 증거는 추가 전용(append-only)이므로 보존 설정으로 삭제되지 않습니다. 호스트의 제공업체 대화 기록은 해당 도구의 보존 정책을 따릅니다. Olivares는 외부 서비스의 보존 정책을 설정하지 않습니다.

취약점 공개

보안 문제 신고

우리는 협조적 공개를 환영하며, 동일하게 행동하는 연구자들과 선의로 협력합니다. 보안 모델 자체에 대한 발견도 명시적으로 환영합니다.

비공개 신고처

security@olivares.ai

의심되는 취약점에 대해 공개 이슈, 풀 리퀘스트 또는 토론을 열지 마십시오. 세부 정보를 보내기 전에 요청하시면 PGP를 제공해 드립니다.

전체 정책 취약점 공개 정책 (SECURITY.md) 기계 판독 가능 연락처 /.well-known/security.txt (RFC 9116)

예상 절차

접수 확인 영업일 기준 3일 이내
초기 평가 영업일 기준 10일 이내
협조적 공개 최대 90일, 수정 사항이 배포되면 더 빠르게

보내지 마십시오

실제 시크릿, 자격 증명 또는 토큰은 보내지 마시고(마스킹해 주십시오), 고객이나 제3자의 개인 데이터 또는 프로덕션 덤프, 그리고 소유하지 않은 시스템에 대한 실제 악용 행위도 삼가 주십시오. 민감한 영향은 첨부하기보다 서술해 주시면, 안전한 채널을 마련해 드리겠습니다.

지원 대상은 최신 태그 릴리스이며, 보안 수정 사항은 main에 반영되어 다음 태그 릴리스로 배포됩니다.

하위 처리자

그 외에 데이터를 처리하는 주체

이 웹사이트는 분석, 광고 또는 추적 하위 처리자를 일절 사용하지 않습니다. 셀프 호스팅 폰트, 엄격한 동일 출처 Content-Security-Policy를 사용하고 쿠키가 없는 정적 사이트입니다. 콘텐츠 전송 네트워크를 통해 제공되며, 페이지를 전달하는 데 필요한 연결 메타데이터만 처리합니다. 고객이 사이트를 둘러보는 동안 우리는 어떤 개인 데이터도 수집하지 않습니다.

Olivares는 셀프호스팅 소프트웨어입니다. 모델 제공업체와 출력 또는 텔레메트리 대상은 귀사가 선택합니다. 웹사이트, 라이선스와 연락에 사용하는 서비스는 신뢰 센터에 별도로 나열되어 있습니다.

신뢰 센터

데이터 처리

데이터 처리 계약 (GDPR 제28조)

엔터프라이즈 조달을 위한 데이터 처리 계약을 요청 시 제공해 드립니다. Olivares AI는 셀프 호스팅이므로, 대부분의 배포에서 고객은 자체 인프라 내에서 자신의 데이터에 대한 컨트롤러이자 프로세서로 남습니다. 그럼에도 상업적 관계에서의 책임을 공식화하기 위해 DPA를 체결할 수 있습니다.

DPA 요청

컴플라이언스 태세

현재 위치에 대한 솔직함

Olivares AI는 SOC 2, ISO/IEC 27001, EU AI Act 또는 그 밖의 어떤 프레임워크로도 인증을 받지 않았고, 진행 중인 감사도 없습니다. 우리는 이러한 프레임워크가 검토하는 통제 항목 — 감사 로깅, 액세스 제어, 무결성, 암호화, 변경 관리 — 에 매핑되도록 제품을 설계하여, 때가 되었을 때 감사를 받을 준비가 되도록 합니다. 공식 인증(예: SOC 2 Type 2)은 아키텍처가 가능하도록 설계된 후속 단계이며, 첫 출시를 가로막지 않습니다.

우리가 설계 목표로 삼는 프레임워크

SOC 2 / ISO 27001

우리가 설계 목표로 삼는 통제 목표 — 인증된 것이 아니며 로드맵상에 있습니다.
EU AI Act

통제 및 문서화 요구사항을 지원하도록 설계되었습니다.
CSA MAESTRO

우리가 매핑하는 위협 모델링 방법론 — 인증 가능한 표준이 아닙니다.
OWASP agentic threats

에이전틱 위협 및 완화 목록에 매핑되어 있습니다.
CISA / NIST guidance

인증 가능한 표준이 아닌 지침 — 적합성 주장이 없는 설계 지향입니다.

외부 프레임워크와의 정합성을 설명할 때, 이는 기술적 매핑이지 인증이 아닙니다. 그리고 아직 확정되지 않은 표준의 경우, 이는 적합성 주장이 없는 설계 지향 신호입니다.

빌드 무결성

릴리스는 암호학적으로 서명되며, 소프트웨어 자재 명세서(SBOM)와 함께 제공되고 빌드 출처(provenance)를 포함합니다.
최소화되고 강화된 컨테이너 이미지에 담긴 단일 메모리 안전 정적 바이너리.
최소화되고 버전이 고정된 의존성 — 검증되지 않은 코드를 실행하는 설치 스크립트가 없습니다.
CI에서 모든 변경에 대해 의존성 및 시크릿 스캔이 게이트 역할을 합니다.

이 보장은 모든 태그 릴리스에 적용됩니다.

취약점 수정 목표

Critical 7일
High 14일
Medium 30일
Low 다음 예정 릴리스

첫 태그 릴리스 시점부터 효력이 발생하는, 우리가 약속한 수정 주기입니다. 현재 악용되고 있는 취약점은 Critical로 취급합니다.

Business: 런타임 보안과 귀사의 키

Community에는 가드레일, 송신 DLP, 기본 거부 검사가 포함됩니다. Business는 콘텐츠 방화벽, 서버 도구 송신 및 컴퓨터 사용 검사, 서킷 브레이커, MCP 도구 고정, 위협 인텔리전스, 귀사의 키 서비스에 보관하는 키를 더합니다.

Business가 더하는 것

신뢰에 관한 질문

내 데이터는 어디로 가나요?

SOC 2 또는 ISO 27001 인증을 받았나요?

아직 받지 않았습니다. 제품은 감사를 받을 준비가 되도록 SOC 2 및 ISO 27001 통제 목표에 매핑되게 설계되었지만, 공식 인증은 로드맵상에 있으며 아직 취득하지 않았습니다. 보유하지 않은 인증을 주장하지 않겠습니다.

보안 취약점은 어떻게 신고하나요?

security@olivares.ai로 비공개로 이메일을 보내 주십시오. 공개 이슈는 열지 마십시오. 대응 일정을 포함한 전체 정책은 이 페이지에 있으며, /.well-known/security.txt (RFC 9116)에서 참조됩니다. 영업일 기준 3일 이내에 접수를 확인해 드립니다.

DPA를 제공하나요?

예, GDPR 제28조 데이터 처리 계약을 엔터프라이즈 조달을 위해 요청 시 제공해 드립니다. enterprise@olivares.ai로 문의해 주십시오.

보안 또는 조달 팀에서 궁금한 점이 있으신가요?

보안 담당 연락처로 취약점을 신고하시거나, 조달, DPA 또는 보안 검토를 위해 문의해 주십시오.

취약점 신고 조달팀 문의