Tłumaczenie maszynowe. Wersja angielska jest wiążąca; weryfikacja przez native speakera jeszcze nie nastąpiła.
Bezpieczeństwo · Zaufanie
Każde publiczne wydanie jest podpisane, poświadczone i opatrzone zestawieniem komponentów oprogramowania — pochodzenie i integralność weryfikują Państwo publicznymi narzędziami, zamiast nam ufać. Pierwsze otagowane wydanie, v26.8.0, jest opublikowane; jego artefakty są dowodem.
Łańcuch dostaw
Pipeline wydań generuje te artefakty automatycznie, a każdy z nich jest w pierwszym otagowanym wydaniu, v26.8.0 (2026-09-01): proszę pobrać artefakty i zweryfikować je publicznymi narzędziami.
Każdy plik binarny wydania jest budowany przez GitHub Actions z atestacją pochodzenia SLSA via slsa-github-generator. Atestacja dowodzi, że plik binarny został zbudowany z zatwierdzonego kodu źródłowego w wzmocnionym środowisku budowania bez interwencji manualnej.
Jak działa weryfikacjaManifest sum kontrolnych i obraz kontenera są podpisywane za pomocą Sigstore cosign (tryb bezkluczykowy via Fulcio + Rekor); archiwa niosą atestacje SBOM i OpenVEX, a zestaw niesie pochodzenie SLSA — każde weryfikowane własną ścieżką. Można zweryfikować bez dystrybucji klucza publicznego — dziennik przejrzystości jest korzeniem zaufania.
Przewodnik weryfikacjiKażde wydanie zawiera SBOM w formatach CycloneDX i SPDX, z listą każdej zależności wraz z wersją i licencją. Czytelne maszynowo, audytowalne.
Jak zweryfikować SBOMZnane luki i ich zastosowanie do każdego wydania są publikowane jako dokumenty OpenVEX. Oświadczenia VEX rozróżniają „dotknięty", „nie dotknięty" i „w trakcie badania".
Jak weryfikowane są poradyMaszynowo czytelna polityka ujawniania luk pod adresem /.well-known/security.txt, zgodna z RFC 9116. Zawiera kontakt, link do polityki i datę wygaśnięcia.
Zobacz security.txtArchitektura
Nieznany stan jest odrzucany, nie dopuszczany. Każda decyzja polityki domyślnie oznacza odmowę — silnik, który nie może dotrzeć do magazynu polityk, odrzuca wszystkie żądania zamiast działać w trybie otwartym.
Dziennik audytu jest trybie tylko-dodawanie z łańcuchem kryptograficznym. Zdarzenia nie mogą być cicho modyfikowane ani usuwane — ingerencja łamie łańcuch i jest wykrywalna.
Silnik działa całkowicie w Państwa środowisku. Weryfikacja licencji odbywa się offline (sprawdzenie podpisu Ed25519). Bez telemetrii, bez obowiązkowych wywołań sieciowych, bez serwera aktywacji.
RBAC i ABAC oparte na Cedar z ograniczonymi przyznaniami. Niestandardowe role, pułapy delegacji i awaryjny dostęp z podwójną kontrolą. Domyślny zestaw uprawnień jest pusty.
Zgodność
Publikujemy to, co działa, oraz to, co jeszcze nie zostało rozpoczęte. Nie twierdzimy, że posiadamy certyfikaty, których nie uzyskaliśmy.
RFC 9116 security.txt
Maszynowo czytelna polityka ujawniania luk, dostępna pod adresem /.well-known/security.txt.
SLSA Build Level 3
Atestacja pochodzenia via slsa-github-generator — zbudowana i ćwiczona w CI; publikowana z każdym otagowanym wydaniem.
SBOM (CycloneDX + SPDX)
Zestawienie komponentów oprogramowania generowane dla każdej kompilacji wydania.
Bezkluczykowe podpisy cosign
Podpisywanie artefaktów oparte na Sigstore via Fulcio + Rekor.
Porady OpenVEX
Oświadczenia o zastosowaniu luk na wydanie.
SOC 2 Type II
Planowane. Wymagane dla chmury zarządzanej, nie dla samodzielnego hostingu.
ISO 27001
Planowane. Harmonogram nieustalony.
Niezależny test penetracyjny
Planowany. Zostanie opublikowany po zakończeniu.
Gotowość frameworkowa
Produkt mapuje zdolności na 26 katalogów frameworków zgodności. Poniżej postura gotowości dla frameworków najczęściej żądanych przez nabywców enterprise. Każdy element to mapowanie gotowości — nie certyfikacja.
Mapowanie kontroli Załącznika A ze wskaźnikami dowodów. Niecertyfikowany.
Mapowanie gotowości AIMS — produkt generuje dowody wymagane przez AIMS. Niecertyfikowany.
Mapowanie Trust Services Criteria (Security / Common Criteria). Nieatestowany.
Szablon dokumentacji technicznej Załącznika IV. Produkt jest narzędziem governance, a nie systemem Załącznika III.
Samooceny CAIQ v4 i AI-CAIQ (AICM v1.0) przygotowane. Nie przesłane do STAR Registry.
Runbook RTBF z crypto-shred, atestacja rezydencji, retencja i zabezpieczenie prawne. Self-hosted: klient jest administratorem i podmiotem przetwarzającym.
Mapowanie podkategorii obejmujące profil generatywnego AI (AI 600-1).
Eksport widoku ryzyk ICT; generator rejestru informacji jest dodatkiem enterprise.
Mapowanie zobowiązań z posturą łańcucha dostaw ICT i dowodami zgłoszenia incydentów.
Pakiet zaufania
Pakiet zaufania można pobrać z tego Centrum zaufania i jest dołączony do publicznego repozytorium kodu źródłowego. Nabywcy enterprise mogą zażądać pełnego pakietu — w tym wstępnie wypełnionych kwestionariuszy i przewodnika ewaluacji — przez enterprise@olivares.ai.
Dostępne pliki to publiczne migawki Markdown z informacją o pochodzeniu. Pozycje bez źródła nadającego się do udostępnienia pozostają dostępne na żądanie.
CSA Cloud Controls Matrix v4 — 17 domen ze wskaźnikami dowodów.
Pobierz (Markdown)CSA AI Controls Matrix v1.0 — 18 domen, w tym Model Security.
Pobierz (Markdown)33 wstępnie zweryfikowane odpowiedzi zgodne z SIG 2026, CSA AI-CAIQ i popularnymi kwestionariuszami nabywców.
Pobierz (Markdown)Architektura zorientowana na nabywcę: trzy strefy zaufania, topologie wdrożeń, HA/DR, wymiarowanie.
Pobierz (Markdown)Dowód wartości w 10 dniach roboczych — kryteria pass/fail wobec prawdziwego pliku binarnego.
Pobierz (Markdown)Pełne porównanie Community (AGPL) vs Enterprise — pełny zestaw dodatków Enterprise.
Pobierz (Markdown)Weryfikacja modelu zagrożeń z dowodami file:line — gotowy na pentest.
Dostępne na żądanieVoluntary Product Accessibility Template dla konsoli administracyjnej.
Pobierz (Markdown)Przetwarzanie danych
Olivares AI to oprogramowanie hostowane samodzielnie. Dane governance Olivares — inwentarz, mapa dostępu, stan polityk i dowody audytowe — pozostają domyślnie w infrastrukturze pod Państwa kontrolą, a dalszych podmiotów przetwarzających dane klientów nie ma. Zapytania do dostawców modeli hostowanych oraz skonfigurowane przez Państwa miejsca docelowe wyjścia i telemetrii trafiają do wybranych przez Państwa dostawców — to Państwa dostawcy, nie nasi; produkt kataloguje ich w inwentarzu na potrzeby zarządzania ryzykiem stron trzecich. Sam Olivares nie wykonuje żadnych obowiązkowych połączeń do producenta.
Jeśli zostanie wprowadzona oferta chmury zarządzanej, dalsze podmioty przetwarzające zostaną wymienione tutaj przed rozpoczęciem przetwarzania danych.
Nasza witryna, licencjonowanie i komunikacja korzystają z:
Hosting witryny, DNS i ochrona przed botami.
E-maile transakcyjne i dostarczanie newslettera.
Merchant of record dla licencji komercyjnych.
Hosting kodu źródłowego i społeczność.
Nie korzystamy z dostawcy analityki po stronie klienta i nie uruchamiamy analityki w przeglądarce.
Zweryfikuj sam
Każde twierdzenie o artefaktach na tej stronie jest weryfikowalne za pomocą publicznych narzędzi wobec opublikowanego wydania — dołączony skrypt weryfikuje pliki, które rozpoznaje (podpisany cosign manifest sum kontrolnych, atestacje SBOM i OpenVEX, pochodzenie SLSA), i mówi, co pominął; obrazy kontenerów weryfikuje się po digest. Proszę najpierw pobrać artefakty; nigdy nie należy podawać instalatora bezpośrednio do shella.
# Pobierz artefakty wydania (v26.8.0 lub nowsze), a następnie uruchom
# dołączony weryfikator z tego katalogu:
scripts/verify-release.sh # bezkluczykowo (Sigstore)
scripts/verify-release.sh --key cosign.pub --offline # air-gapped, bez sieciSkrypt sprawdza podpisy cosign, pochodzenie SLSA oraz atestacje SBOM i OpenVEX. Pełny ręczny łańcuch poleceń jest udokumentowany w przewodniku weryfikacji wydania w dokumentacji.
Wdróż środowisko demonstracyjne w pięć minut, następnie przeprowadź pełny dowód wartości w 10 dniach roboczych. Przewodnik ewaluacji zawiera kryteria pass/fail wobec prawdziwego pliku binarnego — bez slajdów, bez piaskownicy, bez środowiska demo różniącego się od produkcji.
Jeszcze nie. Dla obu standardów — SOC 2 (Trust Services Criteria) i ISO 27001 (kontrole z Załącznika A) — istnieją mapowania gotowości ze wskazaniami dowodów w kodzie. SOC 2 Type II jest planowany dla warstwy chmury zarządzanej. Publikujemy stan, a nie twierdzenia.
Jeszcze nie. Zaplanowany jest niezależny test penetracyjny, który zostanie opublikowany po zakończeniu.
Proszę uruchomić dołączony skrypt weryfikacji (scripts/verify-release.sh) na pobranych artefaktach wydania v26.8.0 lub nowszego albo zweryfikować ręcznie za pomocą cosign — manifest sum kontrolnych jest podpisany cosign, archiwa niosą atestacje SBOM i OpenVEX, a zestaw niesie pochodzenie SLSA. Zaufanie do nas nie jest wymagane: dziennik przejrzystości jest korzeniem zaufania.
Olivares AI jest hostowany samodzielnie — Państwa dane pozostają w Państwa własnej infrastrukturze. Dostawca nigdy nie widzi, nie przechowuje ani nie przetwarza Państwa danych. Nie ma żadnych dalszych podmiotów przetwarzających. Chmura zarządzana (gdy dostępna) zaoferuje zobowiązania dotyczące rezydencji danych.
Tak — DPA zgodne z art. 28 RODO jest dostępne na żądanie przez enterprise@olivares.ai na potrzeby zakupów enterprise, nawet przy hostingu samodzielnym, gdzie pozostają Państwo administratorem i podmiotem przetwarzającym własnych danych. Przyszła chmura zarządzana opublikuje własne DPA i listę dalszych podmiotów przetwarzających.
Produkt mapuje 26 katalogów frameworków, w tym EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM i stanowe prawa AI w USA. Każdy framework to dane z dowodami na kontrolę — nie twierdzenie o certyfikacji.
Proszę zainstalować podpisane wydanie lub skompilować ze źródeł, uruchomić środowisko demonstracyjne w pięć minut i postępować zgodnie z 10-dniowym przewodnikiem ewaluacji. Każde kryterium to pass/fail wobec prawdziwego pliku binarnego. W sprawie licencji ewaluacyjnej enterprise na czas POV prosimy o kontakt: enterprise@olivares.ai.
Build AGPL to kompletna platforma — nic nie jest usunięte. Enterprise dodaje pełny zestaw możliwości łagodzenia ryzyka i operacji na dużą skalę (multi-IdP, zapora treści, retencja WORM, rejestr DORA i więcej) plus prawny wyjątek od copyleft AGPL i wsparcie komercyjne, którego zakres opublikowano przy premierze. Pełna matryca funkcjonalności znajduje się w pakiecie zaufania.
Każde publiczne wydanie jest podpisane, poświadczone i udokumentowane — zweryfikuj integralność samodzielnie. Pierwsze otagowane wydanie, v26.8.0, jest opublikowane.