Безопасность · Доверие

Спроектирован для локального развёртывания. Данные управления остаются в инфраструктуре под вашим контролем.

Olivares обрабатывает запросы и вывод управляемых сеансов. Регистратор ввода-вывода вычисляет SHA-256 каждого кадра и включает хеш и длину в цепочку, закреплённую в журнале аудита; содержимое кадра он не сохраняет.

Обращение с данными

Чего мы касаемся и что остаётся у вас

Сеансы обрабатывают запросы и вывод; запись сохраняет хеши как свидетельства, а не их содержимое. Данные управления по умолчанию остаются в вашей инфраструктуре. Инструменты провайдера сохраняют свои стенограммы в каталоге конфигурации на вашем хосте; освобождение сеанса их не удаляет. Облачные провайдеры получают отправленные сеансом данные. Сообщения каналов связи сохраняются с настроенной для канала защитой содержимого.

Работает в вашей инфраструктуре

Самостоятельное размещение даёт контроль над сервером и хранилищем. Вызовы размещённых моделей, подключённые источники и настроенный экспорт могут пересекать границу сети.

Свидетельства записи сеансов

Запись включает SHA-256 и длины кадров в цепочку с обнаружением изменений, закреплённую в журнале аудита, без сохранения байтов запросов или вывода. Она автоматическая для критических запусков; её также могут запросить политика или оператор.

Маскирование секретов

Секретные значения из настроенного хранилища маскируются до передачи вывода регистратору. Персональные данные могут присутствовать в запросах, выводе, стенограммах провайдера и сохранённых сообщениях связи. Инструмент провайдера пишет свои стенограммы вне этого пути маскирования.

Обнаружение и действия агентов

Пассивное обнаружение читает настроенные источники. Управляемые агенты могут действовать через свои инструменты; перед запуском проверьте разрешения, политики и учётные данные.

Сетевые назначения

Например, активация и обновление лицензий Business обращаются к сервису лицензий; облачные провайдеры и настроенные интеграции используют сеть. Собственная инфраструктура не делает эти операции автономными.

Границы правил хранения

Записи и свидетельства журнала аудита допускают только добавление (append-only): настройка срока хранения их не удаляет. Стенограммы провайдера на вашем хосте следуют правилам его инструмента. Olivares не задаёт правила хранения внешнего сервиса.

Раскрытие уязвимостей

Сообщить о проблеме безопасности

Мы приветствуем скоординированное раскрытие и действуем добросовестно с исследователями, которые поступают так же. Находки в самой модели безопасности приветствуются особо.

Сообщайте конфиденциально на

security@olivares.ai

Пожалуйста, не открывайте публичный issue, pull request или обсуждение по предполагаемой уязвимости. PGP доступен по запросу до того, как вы отправите подробности.

Полная политика Политика раскрытия уязвимостей (SECURITY.md) Машиночитаемый контакт /.well-known/security.txt (RFC 9116)

Чего ожидать

Подтверждение получения в течение 3 рабочих дней
Первичная оценка в течение 10 рабочих дней
Скоординированное раскрытие до 90 дней, раньше, если выходит исправление

Пожалуйста, не присылайте

Никаких реальных секретов, учётных данных или токенов (замаскируйте их), никаких персональных данных клиентов или третьих лиц и дампов из продакшена, никакой реальной эксплуатации систем, которые вам не принадлежат. Описывайте чувствительные последствия, а не прикладывайте их — мы организуем защищённый канал.

Поддерживается последний помеченный тегом выпуск; исправления безопасности попадают в main и выходят со следующим помеченным выпуском.

Субпроцессоры

Кто ещё обрабатывает данные

Этот сайт не использует субпроцессоры аналитики, рекламы или отслеживания. Это статический сайт с локально размещёнными шрифтами, строгой same-origin Content-Security-Policy и без cookie. Он отдаётся через сеть доставки контента, которая обрабатывает только метаданные соединения, необходимые для доставки страницы, — при просмотре мы не собираем никаких персональных данных.

Olivares — самостоятельно размещаемое ПО. Вы выбираете провайдеров моделей и назначения вывода или телеметрии. Сервисы нашего сайта, лицензирования и коммуникаций перечислены отдельно в Центре доверия.

Центр доверия

Обработка данных

Соглашение об обработке данных (статья 28 GDPR)

Соглашение об обработке данных доступно по запросу для корпоративных закупок. Поскольку Olivares AI развёртывается локально, в большинстве развёртываний вы остаётесь контролёром и обработчиком собственных данных в рамках своей инфраструктуры; соглашение об обработке данных тем не менее может быть заключено, чтобы формализовать ответственность в коммерческих отношениях.

Запросить соглашение об обработке данных

Позиция по соответствию

Честно о том, где мы находимся

Olivares AI не сертифицирован по SOC 2, ISO/IEC 27001, Регламенту ЕС об искусственном интеллекте (EU AI Act) или любой другой системе требований, и никакой аудит не ведётся. Мы проектируем продукт так, чтобы он соответствовал тем механизмам контроля, которые проверяют эти системы, — журналирование аудита, контроль доступа, целостность, шифрование и управление изменениями, — чтобы он был готов к аудиту, когда придёт время. Формальная сертификация (например, SOC 2 Type 2) — это более поздний шаг, который архитектура заложена обеспечивать; она не блокирует первый релиз.

Системы требований, на которые мы ориентируемся при проектировании

SOC 2 / ISO 27001

Цели контроля, на которые мы ориентируемся при проектировании, — не сертифицировано, в плане развития.
EU AI Act

Спроектирован с расчётом на его требования к контролю и документированию.
CSA MAESTRO

Методология моделирования угроз, с которой мы сопоставляемся, — не сертифицируемый стандарт.
OWASP agentic threats

Сопоставлено с перечнем агентных угроз и мер по их снижению.
Рекомендации CISA / NIST

Рекомендации, а не сертифицируемый стандарт, — ориентир при проектировании, без заявления о соответствии.

Там, где мы описываем соответствие внешним системам требований, это техническое сопоставление, а не сертификация — а для ещё не финализированных стандартов это сигнал об ориентире при проектировании без заявления о соответствии.

Целостность сборки

Релизы криптографически подписаны, поставляются со спецификацией состава ПО (SBOM) и несут сведения о происхождении сборки.
Единый, безопасный по памяти статический бинарный файл в минимальных, усиленных образах контейнеров.
Минимальные, зафиксированные зависимости — без скриптов установки, выполняющих непроверенный код.
Сканирование зависимостей и секретов проверяет каждое изменение в CI.

Эти гарантии действуют для каждого помеченного тегом выпуска.

Целевые сроки устранения

Критический 7 дней
Высокий 14 дней
Средний 30 дней
Низкий следующий плановый релиз

Наш заявленный темп устранения, действующий с первого помеченного релиза. Активно эксплуатируемые уязвимости рассматриваются как критические.

Business: безопасность во время выполнения и ваши собственные ключи

Community включает защитные проверки, DLP на выходе и deny-closed проверки. Business добавляет межсетевой экран содержимого, проверки исходящего доступа серверных инструментов и использования компьютера, circuit breaker, фиксацию инструментов MCP, аналитику угроз и ключи в вашем собственном сервисе ключей.

Что добавляет Business

Вопросы доверия

Куда уходят мои данные?

Вы сертифицированы по SOC 2 или ISO 27001?

Пока нет. Продукт спроектирован так, чтобы соответствовать целям контроля SOC 2 и ISO 27001 и быть готовым к аудиту, но формальная сертификация находится в плане развития и пока не получена. Мы не будем заявлять о сертификации, которой у нас нет.

Как сообщить об уязвимости безопасности?

Сообщите конфиденциально на security@olivares.ai — пожалуйста, не открывайте публичный issue. Наша полная политика, включая сроки реагирования, изложена на этой странице, и на неё ссылается /.well-known/security.txt (RFC 9116). Мы подтверждаем получение в течение трёх рабочих дней.

Предлагаете ли вы соглашение об обработке данных?

Да, соглашение об обработке данных по статье 28 GDPR доступно по запросу для корпоративных закупок. Свяжитесь с нами по адресу enterprise@olivares.ai.

Вопросы от вашей команды по безопасности или закупкам?

Сообщите об уязвимости нашему контакту по безопасности или свяжитесь с нами по вопросам закупок, соглашения об обработке данных или аудита безопасности.

Сообщить об уязвимости Связаться с отделом закупок