Segurança · Confiança
Cada versão pública é distribuída assinada, atestada e com um inventário de componentes de software — pode verificar a proveniência e a integridade com ferramentas públicas em vez de confiar em nós. Os artefactos de cada versão publicada são a evidência.
Cadeia de fornecimento
A pipeline de versões gera estes artefactos automaticamente, e todos eles estão em cada versão etiquetada: descarregue os artefactos e verifique-os com ferramentas públicas.
Cada binário de versão é construído pelo GitHub Actions com atestação de proveniência SLSA via slsa-github-generator. A atestação prova que o binário foi construído a partir do código-fonte confirmado, num ambiente de compilação reforçado, sem intervenção manual.
Como funciona a verificaçãoO manifesto de checksums e a imagem de contentor são assinados com Sigstore cosign (modo sem chave via Fulcio + Rekor); a versão inclui um SBOM SPDX e um documento OpenVEX, e o conjunto transporta proveniência SLSA — cada um verificado pelo seu próprio caminho. Pode verificar sem que distribuamos uma chave pública — o registo de transparência é a raiz de confiança.
Guia de verificaçãoCada versão inclui um SBOM no formato SPDX, com a lista de cada dependência com versão e licença. Legível por máquina, auditável.
Como verificar o SBOMAs vulnerabilidades conhecidas e a sua aplicabilidade a cada versão são publicadas como documentos OpenVEX. As declarações VEX distinguem entre "afetado", "não afetado" e "em investigação".
Como os avisos são verificadosUma política de divulgação de vulnerabilidades legível por máquina em /.well-known/security.txt, conforme a RFC 9116. Inclui contacto, ligação para a política e data de expiração.
Ver security.txtArquitetura
O estado desconhecido é negado, não permitido. Cada decisão de política usa negação por defeito — um motor que não consegue alcançar o seu armazém de políticas recusa todos os pedidos em vez de falhar em aberto.
O registo de auditoria é só de anexação com encadeamento criptográfico. Os eventos não podem ser modificados ou eliminados silenciosamente — a adulteração quebra a cadeia e é detetável.
O motor funciona inteiramente no seu ambiente. A verificação de licença é offline (verificação de assinatura Ed25519). Sem telemetria, sem chamadas de rede obrigatórias, sem servidor de ativação.
RBAC e ABAC baseados em Cedar com concessões limitadas. Funções personalizadas, tetos de delegação e acesso de emergência com duplo controlo. O conjunto de permissões por defeito está vazio. As funções personalizadas, as concessões limitadas e o acesso de emergência fazem parte de Business.
Conformidade
Publicamos o que está ativo e o que ainda não foi iniciado. Não reivindicamos certificações que não obtivemos.
RFC 9116 security.txt
Política de divulgação de vulnerabilidades legível por máquina, ativa em /.well-known/security.txt.
SLSA Build Level 3
Atestação de proveniência via slsa-github-generator — construída e exercitada em CI; publica-se com cada versão etiquetada.
SBOM (SPDX)
Inventário de componentes de software gerado para cada build de versão.
Assinaturas cosign sem chave
Assinatura de artefactos baseada em Sigstore via Fulcio + Rekor.
Avisos OpenVEX
Declarações de aplicabilidade de vulnerabilidades por versão.
SOC 2 Type II
Planeado.
ISO 27001
Planeado. Cronologia não comprometida.
Teste de penetração independente
Planeado. Será publicado quando concluído.
Preparação por framework
O Business mapeia capacidades para 26 catálogos de frameworks de conformidade. Abaixo está a postura de preparação para os frameworks mais solicitados por compradores enterprise. Cada item é um mapeamento de preparação — não uma certificação.
Mapeamento dos controlos do Anexo A com ponteiros de evidência. Não certificado.
Mapeamento de preparação AIMS — o produto gera as evidências que um AIMS requer. Não certificado.
Mapeamento dos Trust Services Criteria (Security / Common Criteria). Não atestado.
Modelo de documentação técnica do Anexo IV. O produto é tooling de governança, não um sistema do Anexo III.
Autoavaliações CAIQ v4 e AI-CAIQ (AICM v1.0) preparadas. Não submetidas ao STAR Registry.
Runbook RTBF com crypto-shred, atestação de residência, retenção e retenção legal. Self-hosted: o cliente é responsável e subcontratante.
Mapeamento de subcategorias incluindo o Perfil de IA Generativa (AI 600-1).
Exportação da vista de riscos TIC; o gerador do registo de informações está incluído em Compliance Packs de Business.
Mapeamento de obrigações com postura de cadeia de fornecimento ICT e evidência de notificação de incidentes.
Pacote de confiança
O pacote de confiança pode ser descarregado a partir deste Trust Center e está incluído no repositório público do código-fonte. Os compradores enterprise podem solicitar o pacote completo — incluindo questionários pré-preenchidos e o guia de avaliação — via enterprise@olivares.ai.
Os ficheiros disponíveis são instantâneos Markdown públicos. Cada um começa com uma linha de cabeçalho que indica a data do instantâneo e o digest SHA-256 de tudo o que vem depois dessa linha e da linha em branco seguinte. Os itens sem uma fonte partilhável continuam disponíveis mediante pedido.
CSA Cloud Controls Matrix v4 — 17 domínios com ponteiros de evidência.
Transferir (Markdown)CSA AI Controls Matrix v1.0 — 18 domínios incluindo Model Security.
Transferir (Markdown)33 respostas pré-verificadas alinhadas com SIG 2026, CSA AI-CAIQ e questionários comuns de compradores.
Transferir (Markdown)Arquitetura orientada ao comprador: três zonas de confiança, topologias de implantação, HA/DR, dimensionamento.
Transferir (Markdown)Prova de valor em 10 dias úteis — critérios pass/fail contra o binário real.
Transferir (Markdown)Business inclui a licença comercial, o canal de versões assinado e quatro famílias de capacidades: Regulated Operations, AI Runtime Security, Compliance Packs, Identity & Scale. Nada é vendido separadamente.
Transferir (Markdown)Verificação do modelo de ameaças com evidência file:line — pronto para pentest.
Disponível mediante pedidoVoluntary Product Accessibility Template para a consola de administração.
Transferir (Markdown)Tratamento de dados
A Olivares AI é software auto-alojado. Os dados de governação da Olivares — inventário, mapa de acessos, estado das políticas e evidência de auditoria — ficam por omissão em infraestrutura que o utilizador controla, e não existem subcontratantes ulteriores de dados de clientes. Os pedidos a fornecedores de modelos alojados, e os destinos de saída ou telemetria que configurar, vão para os fornecedores que escolher — fornecedores seus, não nossos; o produto cataloga-os no inventário para a sua gestão de riscos de terceiros. A própria Olivares não faz chamadas obrigatórias para o exterior.
O nosso sítio web, licenciamento e comunicações funcionam sobre:
Alojamento do sítio, DNS e proteção contra bots.
Entrega de email transacional.
Merchant of record para licenças comerciais.
Alojamento do código-fonte e comunidade.
Não utilizamos fornecedores de analítica do lado do cliente nem executamos analítica no navegador.
Verifique por si mesmo
Obtenha scripts/verify-release.sh de um checkout de confiança do código-fonte da tag de release; não é um artefacto do release. Execute-o no diretório dos ficheiros descarregados. A verificação sem chave precisa de raízes de confiança Sigstore e acesso à rede.
/path/to/olivares/scripts/verify-release.sh --source-tag <version>--source-tag <version> fixa apenas a proveniência SLSA e requer slsa-verifier. Comparar checksums SHA-256 não requer rede; autenticar o manifesto continua a exigir as verificações de assinatura. --offline evita a consulta a Rekor, não todas as dependências de rede. As assinaturas sem chave e atestações SBOM/OpenVEX precisam das raízes de confiança Sigstore se não estiverem em cache; SLSA não tem opção offline aqui. As verificações ignoradas não estão verificadas. Consulte os requisitos no guia.
Implante o ambiente de demonstração em cinco minutos e depois execute a prova de valor completa em 10 dias úteis. O guia de avaliação inclui critérios pass/fail contra o binário real — sem slides, sem sandbox, sem ambiente de demo diferente da produção.
Ainda não. Existem mapeamentos de preparação para ambos — SOC 2 (Trust Services Criteria) e ISO 27001 (controlos do Anexo A) — com referências às evidências no código. O Publicamos a postura, não alegações.
Ainda não. Um teste de penetração independente está planeado e será publicado quando concluído.
Obtenha scripts/verify-release.sh de um checkout de confiança do código-fonte da tag de release; não é um artefacto do release. A verificação sem chave precisa de raízes de confiança Sigstore e acesso à rede. --source-tag <version> fixa a verificação de proveniência SLSA à tag <version>; requer slsa-verifier e é ignorada se faltarem a ferramenta ou a proveniência. As verificações por defeito de assinaturas e atestações SBOM/OpenVEX aceitam qualquer tag de release do workflow de assinatura do projeto, não apenas <version>. As verificações ignoradas não estão verificadas. O guia descreve os requisitos e a verificação de imagens de contentor.
Em self-hosting, os dados de governação da Olivares (inventário, mapa de acessos, estado das políticas e evidência de auditoria) permanecem por omissão em infraestrutura que controla. Os pedidos aos fornecedores de modelos alojados que escolher e os dados enviados para destinos de saída ou telemetria que configurar vão para esses serviços externos. Os serviços que usamos para o sítio web, o licenciamento e as comunicações estão listados separadamente nesta página.
Sim — um DPA nos termos do art. 28.º do RGPD está disponível mediante pedido através de enterprise@olivares.ai para aquisições enterprise, mesmo em self-hosting, em que continua a ser o responsável e o subcontratante dos seus próprios dados.
O Business mapeia 26 catálogos de frameworks incluindo EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM e leis estaduais de IA dos EUA. Cada framework é dados com evidência por controlo — não uma afirmação de certificação.
Instale uma versão assinada ou compile a partir do código-fonte, inicie o ambiente de demonstração em cinco minutos e siga o guia de avaliação de 10 dias. Cada critério é pass/fail contra o binário real. Contacte enterprise@olivares.ai para uma licença de avaliação enterprise durante o POV.
Community é a plataforma AGPL-3.0 completa e gratuita, com utilizadores ilimitados e um fornecedor de identidade ativo. Business inclui a licença comercial, o canal de versões assinado e quatro famílias de capacidades pagas. Enterprise acrescenta condições contratuais negociadas. Para mais entidades, implementações ou fornecedores de identidade, air-gap, LTS personalizado, OEM/MSP ou objetivos de suporte, contacte-nos sobre Enterprise.
Cada versão pública é distribuída assinada, atestada e documentada — verifique a integridade por si mesmo.