Beveiliging · Vertrouwen
Elke publieke release wordt ondertekend, geattesteerd en met een software-stuklijst geleverd — u verifieert herkomst en integriteit met openbare tools in plaats van ons te vertrouwen. De artefacten van elke gepubliceerde release zijn het bewijs.
Toeleveringsketen
De release-pipeline genereert deze artefacten automatisch, en elk ervan staat op elke getagde release: download de artefacten en verifieer ze met openbare tools.
Elke release-binary wordt gebouwd door GitHub Actions met SLSA-herkomstattestatie via slsa-github-generator. De attestatie bewijst dat de binary is gebouwd van de vastgelegde broncode, in een geharde build-omgeving, zonder handmatige interventie.
Hoe verificatie werktHet checksums-manifest en de container-image worden ondertekend met Sigstore cosign (sleutelloze modus via Fulcio + Rekor); de release bevat een SPDX-SBOM en een OpenVEX-document, en de set draagt SLSA-herkomst — elk via een eigen pad geverifieerd. U kunt verifiëren zonder dat wij een publieke sleutel distribueren — het transparantielogboek is de vertrouwensbasis.
VerificatiegidsElke release bevat een SBOM in SPDX-formaat, met een lijst van elke afhankelijkheid met versie en licentie. Machine-leesbaar, controleerbaar.
Hoe u de SBOM verifieertBekende kwetsbaarheden en hun toepasselijkheid op elke release worden gepubliceerd als OpenVEX-documenten. VEX-verklaringen onderscheiden "getroffen", "niet getroffen" en "in onderzoek".
Hoe adviezen worden geverifieerdEen machine-leesbaar beleid voor kwetsbaarheidsmeldingen op /.well-known/security.txt, conform RFC 9116. Bevat contactgegevens, beleidslink en vervaldatum.
security.txt bekijkenArchitectuur
Onbekende status wordt geweigerd, niet toegestaan. Elke beleidsbeslissing gebruikt standaard weigering — een engine die zijn beleidsopslag niet kan bereiken, weigert alle verzoeken in plaats van open te falen.
Het auditlogboek is alleen-toevoegen met cryptografische kettingvorming. Gebeurtenissen kunnen niet stilzwijgend worden gewijzigd of verwijderd — manipulatie breekt de keten en is detecteerbaar.
De engine draait volledig in uw omgeving. Licentieverificatie is offline (Ed25519-handtekeningcontrole). Geen telemetrie, geen verplichte netwerkoproepen, geen activeringsserver.
Op Cedar gebaseerde RBAC en ABAC met beperkte toekenningen. Aangepaste rollen, delegatieplafonds en noodtoegang met dubbele controle. De standaard rechtenset is leeg. Aangepaste rollen, beperkte toekenningen en noodtoegang horen bij Business.
Compliance
Wij publiceren wat live is en wat nog niet is gestart. Wij claimen geen certificeringen die wij niet hebben verkregen.
RFC 9116 security.txt
Machine-leesbaar beleid voor kwetsbaarheidsmeldingen, live op /.well-known/security.txt.
SLSA Build Level 3
Herkomstattestatie via slsa-github-generator — gebouwd en in CI beproefd; wordt gepubliceerd met elke getagde release.
SBOM (SPDX)
Software-stuklijst gegenereerd voor elke release-build.
Sleutelloze cosign-handtekeningen
Sigstore-gebaseerde artefactondertekening via Fulcio + Rekor.
OpenVEX-adviezen
Toepasselijkheidsverklaringen voor kwetsbaarheden per release.
SOC 2 Type II
Gepland.
ISO 27001
Gepland. Tijdlijn niet vastgelegd.
Onafhankelijke penetratietest
Gepland. Wordt gepubliceerd na voltooiing.
Framework-gereedheid
Business brengt mogelijkheden in kaart voor 26 compliance-frameworkcatalogi. Hieronder het gereedheidspostuur voor de frameworks die het meest gevraagd worden door enterprise-kopers. Elk item is een gereedheidsmapping — geen certificering.
Mapping van Bijlage A-controles met bewijsverwijzingen. Niet gecertificeerd.
AIMS-gereedheidsmapping — het product genereert het bewijs dat een AIMS vereist. Niet gecertificeerd.
Mapping van Trust Services Criteria (Security / Common Criteria). Niet geattesteerd.
Bijlage IV sjabloon voor technische documentatie. Het product is governance-tooling, niet zelf een Bijlage III-systeem.
Zelfbeoordelingen CAIQ v4 en AI-CAIQ (AICM v1.0) voorbereid. Niet ingediend bij het STAR Registry.
RTBF-runbook met crypto-shred, residentie-attestatie, retentie en juridische bewaring. Zelf gehost: de klant is verwerkingsverantwoordelijke en verwerker.
Subcategorie-mapping inclusief het Generatieve AI Profiel (AI 600-1).
Export van het ICT-risico-overzicht; de generator voor het informatieregister is inbegrepen bij Compliance Packs van Business.
Verplichtingenmapping met ICT-toeleveringsketen-postuur en bewijs van incidentmelding.
Vertrouwenspakket
Het vertrouwenspakket is te downloaden vanuit dit Trust Center en wordt meegeleverd in de publieke broncode-repository. Enterprise-kopers kunnen het volledige pakket aanvragen — inclusief vooraf ingevulde vragenlijsten en de evaluatiegids — via enterprise@olivares.ai.
Beschikbare bestanden zijn openbare Markdown-momentopnamen. Elk bestand begint met een kopregel die de datum van de momentopname vermeldt en de SHA-256-digest van alles na die regel en de lege regel daaronder. Items zonder deelbare bron blijven op aanvraag beschikbaar.
CSA Cloud Controls Matrix v4 — 17 domeinen met bewijsverwijzingen.
Downloaden (Markdown)CSA AI Controls Matrix v1.0 — 18 domeinen inclusief Model Security.
Downloaden (Markdown)33 vooraf geverifieerde antwoorden afgestemd op SIG 2026, CSA AI-CAIQ en gangbare kopersvragenlijsten.
Downloaden (Markdown)Kopersgerichte architectuur: drie vertrouwenszones, deployment-topologieën, HA/DR, dimensionering.
Downloaden (Markdown)Waardebewijs in 10 werkdagen — pass/fail-criteria tegen de echte binary.
Downloaden (Markdown)Business bevat de commerciële licentie, het ondertekende releasekanaal en vier functiefamilies: Regulated Operations, AI Runtime Security, Compliance Packs, Identity & Scale. Niets wordt apart verkocht.
Downloaden (Markdown)Bedreigingsmodel-verificatie met file:line-bewijs — pentest-klaar.
Op aanvraag beschikbaarVoluntary Product Accessibility Template voor de admin-console.
Downloaden (Markdown)Gegevensverwerking
Olivares AI is zelf gehoste software. Olivares-governancedata — inventaris, toegangskaart, beleidsstatus en auditbewijs — blijft standaard in infrastructuur die u beheert, en er zijn geen subverwerkers van klantgegevens. Verzoeken aan gehoste modelaanbieders, en alle uitvoer- of telemetriebestemmingen die u configureert, gaan naar de leveranciers die u kiest — uw leveranciers, niet de onze; het product catalogiseert ze in de inventaris voor uw risicobeheer van derden. Olivares zelf doet geen verplichte calls home.
Onze website, licenties en communicatie draaien op:
Websitehosting, DNS en botbescherming.
Bezorging van transactionele e-mail.
Merchant of record voor commerciële licenties.
Broncodehosting en community.
We gebruiken geen client-side analyticsprovider en voeren geen analytics in de browser uit.
Zelf verifiëren
Haal scripts/verify-release.sh uit een vertrouwde broncode-checkout van de releasetag; het script is geen releasebestand. Voer het uit vanuit de map met de gedownloade bestanden. Sleutelloze verificatie heeft vertrouwde Sigstore-roots en netwerktoegang nodig.
/path/to/olivares/scripts/verify-release.sh --source-tag <version>--source-tag <version> bindt alleen SLSA-herkomstbewijs en vereist slsa-verifier. SHA-256-checksums vergelijken vereist geen netwerk; het manifest authenticeren vereist nog steeds de handtekeningcontroles. --offline slaat Rekor-opvragen over, niet alle netwerkafhankelijkheden. Sleutelloze handtekeningen en SBOM/OpenVEX-attestaties vereisen vertrouwde Sigstore-roots tenzij gecachet; SLSA heeft hier geen offline-optie. Overgeslagen controles zijn niet geverifieerd. De gids beschrijft de vereisten.
Implementeer de demo-omgeving in vijf minuten en voer vervolgens het volledige waardebewijs uit in 10 werkdagen. De evaluatiegids bevat pass/fail-criteria tegen de echte binary — geen slides, geen sandbox, geen demo-omgeving die verschilt van productie.
Nog niet. Voor beide bestaan readiness-mappings — SOC 2 (Trust Services Criteria) en ISO 27001 (Annex A-controls) — met verwijzingen naar bewijs in de codebase. Wij publiceren onze positie, geen claims.
Nog niet. Een onafhankelijke penetratietest is gepland en wordt na voltooiing gepubliceerd.
Haal scripts/verify-release.sh uit een vertrouwde broncode-checkout van de releasetag; het script is geen releasebestand. Sleutelloze verificatie heeft vertrouwde Sigstore-roots en netwerktoegang nodig. --source-tag <version> bindt de SLSA-herkomstcontrole aan tag <version>; hiervoor is slsa-verifier nodig. De controle wordt overgeslagen als het hulpmiddel of het herkomstbewijs ontbreekt. De standaardcontroles voor handtekeningen en SBOM/OpenVEX-attestaties accepteren elke releasetag van de ondertekeningsworkflow van het project, niet alleen <version>. Overgeslagen controles zijn niet geverifieerd. Zie de gids voor vereisten en verificatie van containerimages.
Bij zelfhosting blijven de governancedata van Olivares (inventaris, toegangskaart, beleidsstatus en auditbewijs) standaard in infrastructuur die u beheert. Verzoeken aan gehoste modelaanbieders die u kiest en gegevens voor uitvoer- of telemetriebestemmingen die u configureert gaan naar die externe diensten. De diensten die wij voor de website, licenties en communicatie gebruiken, staan afzonderlijk op deze pagina vermeld.
Ja — een verwerkersovereenkomst conform art. 28 AVG is op aanvraag beschikbaar via enterprise@olivares.ai voor enterprise-inkoop, ook self-hosted, waar u verwerkingsverantwoordelijke en verwerker van uw eigen data blijft.
Business brengt 26 frameworkcatalogi in kaart, waaronder EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM en Amerikaanse staatsspecifieke AI-wetten. Elk framework bestaat uit data met bewijs per controle — geen certificeringsclaim.
Installeer een ondertekende release of compileer vanuit de broncode, start de demo-omgeving in vijf minuten en volg de 10-daagse evaluatiegids. Elk criterium is pass/fail tegen de echte binary. Neem contact op met enterprise@olivares.ai voor een enterprise-evaluatielicentie tijdens de POV.
Community is het volledige, gratis AGPL-3.0-platform met onbeperkte gebruikers en één actieve identiteitsprovider. Business bevat de commerciële licentie, het ondertekende releasekanaal en vier betaalde functiefamilies. Enterprise voegt onderhandelde contractvoorwaarden toe. Voor meer rechtspersonen, deployments of identiteitsproviders, air-gap, aangepast LTS, OEM/MSP of supportdoelen neemt u contact op over Enterprise.
Elke publieke release wordt ondertekend, geattesteerd en gedocumenteerd geleverd — verifieer de integriteit zelf.