Tłumaczenie maszynowe. Wersja angielska jest wiążąca; weryfikacja przez native speakera jeszcze nie nastąpiła.
Bezpieczeństwo · Zaufanie
Każde publiczne wydanie jest podpisane, poświadczone i opatrzone zestawieniem komponentów oprogramowania — pochodzenie i integralność weryfikują Państwo publicznymi narzędziami, zamiast nam ufać. Artefakty każdego opublikowanego wydania są dowodem.
Łańcuch dostaw
Pipeline wydań generuje te artefakty automatycznie, a każdy z nich jest w każdym otagowanym wydaniu: proszę pobrać artefakty i zweryfikować je publicznymi narzędziami.
Każdy plik binarny wydania jest budowany przez GitHub Actions z atestacją pochodzenia SLSA via slsa-github-generator. Atestacja dowodzi, że plik binarny został zbudowany z zatwierdzonego kodu źródłowego w wzmocnionym środowisku budowania bez interwencji manualnej.
Jak działa weryfikacjaManifest sum kontrolnych i obraz kontenera są podpisywane za pomocą Sigstore cosign (tryb bezkluczykowy via Fulcio + Rekor); wydanie zawiera SBOM SPDX i dokument OpenVEX, a zestaw niesie pochodzenie SLSA — każde weryfikowane własną ścieżką. Można zweryfikować bez dystrybucji klucza publicznego — dziennik przejrzystości jest korzeniem zaufania.
Przewodnik weryfikacjiKażde wydanie zawiera SBOM w formacie SPDX, z listą każdej zależności wraz z wersją i licencją. Czytelne maszynowo, audytowalne.
Jak zweryfikować SBOMZnane luki i ich zastosowanie do każdego wydania są publikowane jako dokumenty OpenVEX. Oświadczenia VEX rozróżniają „dotknięty", „nie dotknięty" i „w trakcie badania".
Jak weryfikowane są poradyMaszynowo czytelna polityka ujawniania luk pod adresem /.well-known/security.txt, zgodna z RFC 9116. Zawiera kontakt, link do polityki i datę wygaśnięcia.
Zobacz security.txtArchitektura
Nieznany stan jest odrzucany, nie dopuszczany. Każda decyzja polityki domyślnie oznacza odmowę — silnik, który nie może dotrzeć do magazynu polityk, odrzuca wszystkie żądania zamiast działać w trybie otwartym.
Dziennik audytu jest trybie tylko-dodawanie z łańcuchem kryptograficznym. Zdarzenia nie mogą być cicho modyfikowane ani usuwane — ingerencja łamie łańcuch i jest wykrywalna.
Silnik działa całkowicie w Państwa środowisku. Weryfikacja licencji odbywa się offline (sprawdzenie podpisu Ed25519). Bez telemetrii, bez obowiązkowych wywołań sieciowych, bez serwera aktywacji.
RBAC i ABAC oparte na Cedar z ograniczonymi przyznaniami. Niestandardowe role, pułapy delegacji i awaryjny dostęp z podwójną kontrolą. Domyślny zestaw uprawnień jest pusty. Niestandardowe role, ograniczone przyznania i awaryjny dostęp należą do Business.
Zgodność
Publikujemy to, co działa, oraz to, co jeszcze nie zostało rozpoczęte. Nie twierdzimy, że posiadamy certyfikaty, których nie uzyskaliśmy.
RFC 9116 security.txt
Maszynowo czytelna polityka ujawniania luk, dostępna pod adresem /.well-known/security.txt.
SLSA Build Level 3
Atestacja pochodzenia via slsa-github-generator — zbudowana i ćwiczona w CI; publikowana z każdym otagowanym wydaniem.
SBOM (SPDX)
Zestawienie komponentów oprogramowania generowane dla każdej kompilacji wydania.
Bezkluczykowe podpisy cosign
Podpisywanie artefaktów oparte na Sigstore via Fulcio + Rekor.
Porady OpenVEX
Oświadczenia o zastosowaniu luk na wydanie.
SOC 2 Type II
Planowane.
ISO 27001
Planowane. Harmonogram nieustalony.
Niezależny test penetracyjny
Planowany. Zostanie opublikowany po zakończeniu.
Gotowość frameworkowa
Business mapuje zdolności na 26 katalogów frameworków zgodności. Poniżej postura gotowości dla frameworków najczęściej żądanych przez nabywców enterprise. Każdy element to mapowanie gotowości — nie certyfikacja.
Mapowanie kontroli Załącznika A ze wskaźnikami dowodów. Niecertyfikowany.
Mapowanie gotowości AIMS — produkt generuje dowody wymagane przez AIMS. Niecertyfikowany.
Mapowanie Trust Services Criteria (Security / Common Criteria). Nieatestowany.
Szablon dokumentacji technicznej Załącznika IV. Produkt jest narzędziem governance, a nie systemem Załącznika III.
Samooceny CAIQ v4 i AI-CAIQ (AICM v1.0) przygotowane. Nie przesłane do STAR Registry.
Runbook RTBF z crypto-shred, atestacja rezydencji, retencja i zabezpieczenie prawne. Self-hosted: klient jest administratorem i podmiotem przetwarzającym.
Mapowanie podkategorii obejmujące profil generatywnego AI (AI 600-1).
Eksport widoku ryzyk ICT; generator rejestru informacji jest zawarty w Compliance Packs w ramach Business.
Mapowanie zobowiązań z posturą łańcucha dostaw ICT i dowodami zgłoszenia incydentów.
Pakiet zaufania
Pakiet zaufania można pobrać z tego Centrum zaufania i jest dołączony do publicznego repozytorium kodu źródłowego. Nabywcy enterprise mogą zażądać pełnego pakietu — w tym wstępnie wypełnionych kwestionariuszy i przewodnika ewaluacji — przez enterprise@olivares.ai.
Dostępne pliki to publiczne migawki Markdown. Każdy zaczyna się od wiersza nagłówka, który podaje datę migawki oraz skrót SHA-256 całej treści po tym wierszu i następującym po nim pustym wierszu. Pozycje bez źródła nadającego się do udostępnienia pozostają dostępne na żądanie.
CSA Cloud Controls Matrix v4 — 17 domen ze wskaźnikami dowodów.
Pobierz (Markdown)CSA AI Controls Matrix v1.0 — 18 domen, w tym Model Security.
Pobierz (Markdown)33 wstępnie zweryfikowane odpowiedzi zgodne z SIG 2026, CSA AI-CAIQ i popularnymi kwestionariuszami nabywców.
Pobierz (Markdown)Architektura zorientowana na nabywcę: trzy strefy zaufania, topologie wdrożeń, HA/DR, wymiarowanie.
Pobierz (Markdown)Dowód wartości w 10 dniach roboczych — kryteria pass/fail wobec prawdziwego pliku binarnego.
Pobierz (Markdown)Pełne porównanie Community (AGPL) vs Enterprise — pełny zestaw dodatków Enterprise.
Pobierz (Markdown)Weryfikacja modelu zagrożeń z dowodami file:line — gotowy na pentest.
Dostępne na żądanieVoluntary Product Accessibility Template dla konsoli administracyjnej.
Pobierz (Markdown)Przetwarzanie danych
Olivares AI to oprogramowanie hostowane samodzielnie. Dane governance Olivares — inwentarz, mapa dostępu, stan polityk i dowody audytowe — pozostają domyślnie w infrastrukturze pod Państwa kontrolą, a dalszych podmiotów przetwarzających dane klientów nie ma. Zapytania do dostawców modeli hostowanych oraz skonfigurowane przez Państwa miejsca docelowe wyjścia i telemetrii trafiają do wybranych przez Państwa dostawców — to Państwa dostawcy, nie nasi; produkt kataloguje ich w inwentarzu na potrzeby zarządzania ryzykiem stron trzecich. Sam Olivares nie wykonuje żadnych obowiązkowych połączeń do producenta.
Nasza witryna, licencjonowanie i komunikacja korzystają z:
Hosting witryny, DNS i ochrona przed botami.
Dostarczanie e-maili transakcyjnych.
Merchant of record dla licencji komercyjnych.
Hosting kodu źródłowego i społeczność.
Nie korzystamy z dostawcy analityki po stronie klienta i nie uruchamiamy analityki w przeglądarce.
Zweryfikuj sam
Pobierz scripts/verify-release.sh z zaufanego checkoutu kodu źródłowego tagu wydania; skrypt nie jest artefaktem wydania. Uruchom go z katalogu pobranych plików. Weryfikacja bez klucza wymaga korzeni zaufania Sigstore i dostępu do sieci.
/path/to/olivares/scripts/verify-release.sh --source-tag <version>--source-tag <version> wiąże tylko pochodzenie SLSA i wymaga slsa-verifier. Porównanie sum SHA-256 nie wymaga sieci; uwierzytelnienie manifestu nadal wymaga kontroli podpisu. --offline pomija odczyt Rekor, nie wszystkie zależności sieciowe. Podpisy bez klucza i atestacje SBOM/OpenVEX wymagają korzeni zaufania Sigstore, jeśli nie ma ich w pamięci podręcznej; SLSA nie ma tu opcji offline. Pominięte kontrole nie są wykonane. Wymagania opisano w przewodniku.
Wdróż środowisko demonstracyjne w pięć minut, następnie przeprowadź pełny dowód wartości w 10 dniach roboczych. Przewodnik ewaluacji zawiera kryteria pass/fail wobec prawdziwego pliku binarnego — bez slajdów, bez piaskownicy, bez środowiska demo różniącego się od produkcji.
Jeszcze nie. Dla obu standardów — SOC 2 (Trust Services Criteria) i ISO 27001 (kontrole z Załącznika A) — istnieją mapowania gotowości ze wskazaniami dowodów w kodzie. Publikujemy stan, a nie twierdzenia.
Jeszcze nie. Zaplanowany jest niezależny test penetracyjny, który zostanie opublikowany po zakończeniu.
Pobierz scripts/verify-release.sh z zaufanego checkoutu kodu źródłowego tagu wydania; skrypt nie jest artefaktem wydania. Weryfikacja bez klucza wymaga korzeni zaufania Sigstore i dostępu do sieci. --source-tag <version> wiąże kontrolę pochodzenia SLSA z tagiem <version>; wymaga slsa-verifier i jest pomijana, gdy brakuje narzędzia lub danych o pochodzeniu. Domyślne kontrole podpisów i atestacji SBOM/OpenVEX akceptują dowolny tag wydania z procesu podpisywania projektu, nie tylko <version>. Pominięte kontrole nie są wykonane. Wymagania i weryfikację obrazów kontenerów opisano w przewodniku.
Dane governance Olivares (inwentarz, mapa dostępu, stan polityk i dowody audytowe) przy samodzielnym hostingu pozostają domyślnie w infrastrukturze pod Państwa kontrolą. Zapytania do dostawców modeli hostowanych, których Państwo wybierają, oraz dane wysyłane do miejsc docelowych wyjścia lub telemetrii, które Państwo konfigurują, trafiają do tych usług zewnętrznych. Usługi, z których korzystamy do obsługi strony, licencjonowania i komunikacji, są wymienione osobno na tej stronie.
Tak — DPA zgodne z art. 28 RODO jest dostępne na żądanie przez enterprise@olivares.ai na potrzeby zakupów enterprise, nawet przy hostingu samodzielnym, gdzie pozostają Państwo administratorem i podmiotem przetwarzającym własnych danych.
Business mapuje 26 katalogów frameworków, w tym EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM i stanowe prawa AI w USA. Każdy framework to dane z dowodami na kontrolę — nie twierdzenie o certyfikacji.
Proszę zainstalować podpisane wydanie lub skompilować ze źródeł, uruchomić środowisko demonstracyjne w pięć minut i postępować zgodnie z 10-dniowym przewodnikiem ewaluacji. Każde kryterium to pass/fail wobec prawdziwego pliku binarnego. W sprawie licencji ewaluacyjnej enterprise na czas POV prosimy o kontakt: enterprise@olivares.ai.
Community to kompletna, bezpłatna platforma AGPL-3.0 bez limitu użytkowników, z jednym aktywnym dostawcą tożsamości. Business obejmuje licencję komercyjną, podpisany kanał wydań i cztery rodziny płatnych funkcji. Enterprise dodaje negocjowane warunki umowy. W sprawie większej liczby podmiotów, wdrożeń lub dostawców tożsamości, air-gap, indywidualnego LTS, OEM/MSP lub celów wsparcia skontaktuj się w sprawie Enterprise.
Każde publiczne wydanie jest podpisane, poświadczone i udokumentowane — zweryfikuj integralność samodzielnie.