라이브
SLSA Build Level 3
각 릴리스 바이너리는 slsa-github-generator를 통한 SLSA 출처 인증과 함께 GitHub Actions에 의해 빌드됩니다. 인증은 바이너리가 커밋된 소스 코드로부터 강화된 빌드 환경에서 수동 개입 없이 빌드되었음을 증명합니다.
검증 작동 방식보안 · 신뢰
신뢰하지 말고, 검증하세요.
모든 공개 릴리스는 서명, 인증되며 소프트웨어 자재 명세서와 함께 제공됩니다 — 저희를 신뢰하는 대신 공개 도구로 출처와 무결성을 직접 검증하세요. 게시된 각 릴리스의 아티팩트가 증거입니다.
공급망
모든 릴리스와 함께 제공되는 것
릴리스 파이프라인은 이러한 아티팩트를 자동으로 생성하며, 모두 각 태그된 릴리스에 포함되어 있습니다. 아티팩트를 다운로드하고 공개 도구로 검증하세요.
라이브
키 없는 cosign 서명
checksums 매니페스트와 컨테이너 이미지는 Sigstore cosign(Fulcio + Rekor를 통한 키 없는 모드)으로 서명됩니다. 릴리스에는 SPDX SBOM과 OpenVEX 문서가 포함되고, 전체 세트는 SLSA 출처를 포함하며, 각각 고유한 경로로 검증됩니다. 공개 키를 배포할 필요 없이 검증할 수 있습니다 — 투명성 로그가 신뢰의 근원입니다.
검증 가이드 라이브
소프트웨어 자재 명세서
각 릴리스에는 SPDX 형식의 SBOM이 포함되며, 모든 종속성의 버전과 라이선스가 나열됩니다. 기계 판독 가능, 감사 가능.
SBOM 검증 방법 라이브
OpenVEX 권고
알려진 취약점과 각 릴리스에 대한 적용 가능성이 OpenVEX 문서로 게시됩니다. VEX 선언은 "영향 있음", "영향 없음", "조사 중"을 구분합니다.
권고 검증 방식 라이브
security.txt (RFC 9116)
RFC 9116을 준수하는 /.well-known/security.txt의 기계 판독 가능한 취약점 공개 정책. 연락처, 정책 링크, 만료 날짜를 포함합니다.
security.txt 보기아키텍처
보안 바이 디자인
Deny-closed
알 수 없는 상태는 허용이 아닌 거부됩니다. 모든 정책 결정은 기본적으로 거부 — 정책 저장소에 도달할 수 없는 엔진은 오픈 페일하지 않고 모든 요청을 거부합니다.
추가 전용 감사
감사 원장은 암호화 체이닝을 갖춘 추가 전용입니다. 이벤트는 조용히 수정하거나 삭제할 수 없습니다 — 변조는 체인을 깨뜨리고 감지 가능합니다.
외부 통신 없음
엔진은 귀사의 환경에서 완전히 실행됩니다. 라이선스 검증은 오프라인(Ed25519 서명 확인)입니다. 텔레메트리 없음, 필수 네트워크 호출 없음, 활성화 서버 없음.
최소 권한
Cedar 기반 RBAC 및 ABAC(범위 지정 부여). 사용자 정의 역할, 위임 상한, 이중 제어 비상 접근. 기본 권한 집합은 비어 있습니다. 사용자 정의 역할, 범위 지정 부여, 비상 접근은 Business입니다.
컴플라이언스
컴플라이언스 현황
저희는 라이브인 것과 아직 시작하지 않은 것을 공개합니다. 취득하지 않은 인증을 주장하지 않습니다.
오늘 라이브
-
RFC 9116 security.txt
/.well-known/security.txt에서 라이브 상태인 기계 판독 가능한 취약점 공개 정책.
-
SLSA Build Level 3
slsa-github-generator를 통한 출처 인증 — 구축되어 CI에서 실행 중이며, 태그된 모든 릴리스와 함께 게시됩니다.
-
SBOM (SPDX)
모든 릴리스 빌드에 대해 생성되는 소프트웨어 자재 명세서.
-
키 없는 cosign 서명
Fulcio + Rekor를 통한 Sigstore 기반 아티팩트 서명.
-
OpenVEX 권고
릴리스별 취약점 적용 가능성 선언.
계획 중
-
SOC 2 Type II
계획 중.
-
ISO 27001
계획 중. 일정 미확정.
-
독립 침투 테스트
계획 중. 완료 시 공개 예정.
프레임워크 준비 상태
컴플라이언스 태세
Business는 26개의 컴플라이언스 프레임워크 카탈로그에 기능을 매핑합니다. 아래는 엔터프라이즈 구매자가 가장 많이 요청하는 프레임워크의 준비 태세입니다. 각 항목은 준비 매핑이며 인증이 아닙니다.
준비 매핑 완료
ISO/IEC 27001:2022
부속서 A 통제 매핑과 증거 포인터. 미인증.
준비 매핑 완료
ISO/IEC 42001:2023
AIMS 준비 매핑 — 제품이 AIMS에 필요한 증거를 생성합니다. 미인증.
준비 매핑 완료
SOC 2 Type II
Trust Services Criteria (Security / Common Criteria) 매핑. 미인증.
준비 매핑 완료
EU AI Act
부속서 IV 기술 문서 템플릿. 본 제품은 거버넌스 도구이며 부속서 III 시스템이 아닙니다.
준비 매핑 완료
CSA STAR / AICM
CAIQ v4 및 AI-CAIQ (AICM v1.0) 자체 평가 준비 완료. STAR Registry에 미제출.
준비 매핑 완료
GDPR
crypto-shred 포함 RTBF 런북, 레지던시 인증, 보존 및 법적 보존. 셀프호스팅: 고객이 컨트롤러이자 프로세서.
준비 매핑 완료
NIST AI RMF 1.0
생성형 AI 프로파일 (AI 600-1)을 포함한 하위 카테고리 매핑.
부분적
DORA
ICT 위험 뷰를 내보낼 수 있습니다. 정보 등록부 생성기는 Business의 Compliance Packs에 포함됩니다.
준비 매핑 완료
NIS 2 지침
ICT 공급망 태세 및 사고 보고 증거 포함 의무 매핑.
신뢰 패키지
실사 문서
신뢰 패키지는 이 트러스트 센터에서 다운로드할 수 있으며 공개 소스 저장소에도 포함되어 있습니다. 엔터프라이즈 구매자는 사전 작성된 설문지와 평가 가이드를 포함한 전체 패키지를 enterprise@olivares.ai를 통해 요청할 수 있습니다.
제공 가능한 파일은 공개 Markdown 스냅샷입니다. 각 파일은 헤더 행으로 시작하며, 이 행에는 스냅샷 날짜와 이 행 및 바로 뒤의 빈 행 다음에 오는 모든 내용의 SHA-256 다이제스트가 적혀 있습니다. 공유 가능한 원본이 없는 항목은 요청 시 제공합니다.
상용
기능 매트릭스
Business는 상용 라이선스, 서명된 릴리스 채널, 네 가지 기능군(Regulated Operations, AI Runtime Security, Compliance Packs, Identity & Scale)을 포함합니다. 별도로 판매하지 않습니다.
다운로드(Markdown) 보안
하드닝 가이드
file:line 증거를 통한 위협 모델 검증 — 침투 테스트 준비 완료.
요청 시 제공데이터 처리
하위 처리자
Olivares AI는 셀프호스팅 소프트웨어입니다. Olivares 거버넌스 데이터 — 인벤토리, 액세스 맵, 정책 상태, 감사 증거 — 는 기본적으로 귀사가 통제하는 인프라에 남으며, 고객 데이터의 하위 처리자는 없습니다. 호스팅 모델 제공업체로의 요청과 귀사가 구성한 출력·텔레메트리 대상은 귀사가 선택한 벤더로 전송됩니다 — 저희가 아닌 귀사의 벤더이며, 제품은 서드파티 위험 관리를 위해 이를 인벤토리에 목록화합니다. Olivares 자체에는 필수적인 외부 통신이 없습니다.
공급업체 서비스
당사의 웹사이트, 라이선스 및 커뮤니케이션은 다음 서비스를 사용합니다.
Cloudflare
사용 중웹사이트 호스팅, DNS 및 봇 차단.
Resend
사용 중트랜잭션 이메일 전송.
Dodo Payments
사용 중상용 라이선스의 merchant of record.
GitHub
사용 중소스 호스팅 및 커뮤니티.
클라이언트 측 분석 공급자를 사용하지 않으며 브라우저에서 분석을 실행하지 않습니다.
직접 검증
저희 말만 믿지 마세요
릴리스 태그의 신뢰할 수 있는 소스 체크아웃에서 scripts/verify-release.sh를 가져오세요. 릴리스 아티팩트에는 포함되지 않습니다. 다운로드한 파일의 디렉터리에서 실행하세요. 키 없는 검증에는 Sigstore 신뢰 루트와 네트워크 액세스가 필요합니다.
/path/to/olivares/scripts/verify-release.sh --source-tag <version>--source-tag <version>은 SLSA 출처 증명만 고정하며 slsa-verifier가 필요합니다. SHA-256 체크섬 비교에는 네트워크가 필요 없지만 매니페스트 인증에는 서명 검증이 필요합니다. --offline은 Rekor 조회만 생략합니다. 키 없는 서명과 SBOM/OpenVEX 증명에는 캐시가 없으면 Sigstore 신뢰 루트가 필요하며, 여기서 SLSA에는 오프라인 옵션이 없습니다. 건너뛴 검증은 미검증입니다. 필수 조건은 가이드를 참조하세요.
엔터프라이즈 평가
데모 환경을 5분 내에 배포한 다음, 10 영업일 동안 전체 가치 증명을 실행합니다. 평가 가이드에는 실제 바이너리에 대한 pass/fail 기준이 포함됩니다 — 슬라이드 없음, 샌드박스 없음, 프로덕션과 다른 데모 환경 없음.
신뢰 관련 질문
SOC 2 또는 ISO 27001이 있습니까?
아직 없습니다. SOC 2(Trust Services Criteria)와 ISO 27001(Annex A 통제) 모두에 대해 코드베이스의 증거 포인터를 포함한 준비도 매핑이 있습니다. 주장이 아니라 현황을 공개합니다.
제품의 침투 테스트가 수행되었습니까?
아직입니다. 독립적인 침투 테스트가 계획되어 있으며 완료 시 공개됩니다.
릴리스가 정품인지 어떻게 확인합니까?
릴리스 태그의 신뢰할 수 있는 소스 체크아웃에서 scripts/verify-release.sh를 가져오세요. 키 없는 검증에는 Sigstore 신뢰 루트와 네트워크 액세스가 필요합니다. --source-tag <version>은 SLSA 출처 검증을 태그 <version>으로 고정합니다. slsa-verifier가 필요하며 도구나 출처 증명이 없으면 이 검증을 건너뜁니다. 기본 서명 및 SBOM/OpenVEX 증명 검증은 <version>뿐 아니라 프로젝트의 서명 워크플로에서 발급한 모든 릴리스 태그를 허용합니다. 건너뛴 검증은 미검증입니다. 필수 조건과 컨테이너 이미지 검증은 가이드를 참조하세요.
데이터는 어디에 저장됩니까?
셀프호스팅에서는 Olivares 거버넌스 데이터(인벤토리, 액세스 맵, 정책 상태 및 감사 증거)가 기본적으로 귀사가 통제하는 인프라에 저장됩니다. 귀사가 선택한 호스팅 모델 제공업체로의 요청과 귀사가 구성한 출력 또는 텔레메트리 대상으로 보내는 데이터는 해당 외부 서비스로 전송됩니다. 저희가 웹사이트, 라이선스 및 커뮤니케이션에 사용하는 서비스는 이 페이지에 별도로 나열되어 있습니다.
DPA를 제공하나요?
예 — GDPR 제28조 DPA는 엔터프라이즈 조달을 위해 enterprise@olivares.ai로 요청하시면 제공되며, 귀사가 자체 데이터의 컨트롤러이자 프로세서로 남는 셀프호스팅에서도 체결할 수 있습니다.
제품은 어떤 컴플라이언스 프레임워크를 지원합니까?
Business는 EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM 및 미국 주별 AI 법률을 포함한 26개 프레임워크 카탈로그를 매핑합니다. 각 프레임워크는 통제별 증거가 포함된 데이터이며 인증 주장이 아닙니다.
제품을 어떻게 평가합니까?
서명된 릴리스를 설치하거나 소스에서 빌드하고, 5분 내에 데모 환경을 기동한 다음 10일 평가 가이드를 따르세요. 모든 기준은 실제 바이너리에 대한 pass/fail입니다. POV 기간 동안의 엔터프라이즈 평가 라이선스에 대해서는 enterprise@olivares.ai로 문의하세요.
Community와 Enterprise의 차이점은 무엇입니까?
Community는 완전한 무료 AGPL-3.0 플랫폼으로, 사용자 수 제한이 없고 활성 ID 공급자 1개를 제공합니다. Business는 상용 라이선스, 서명된 릴리스 채널, 네 가지 유료 기능군을 포함합니다. Enterprise는 협의된 계약 조건을 더합니다. 더 많은 법인, 배포, ID 공급자, air-gap, 맞춤 LTS, OEM/MSP 또는 지원 목표가 필요하면 Enterprise에 대해 문의하세요.