Машинный перевод. Авторитетным источником является английская версия; проверка носителем языка ещё не выполнена.
Безопасность · Доверие
Каждый публичный выпуск поставляется подписанным, аттестованным и с перечнем компонентов ПО — вы проверяете происхождение и целостность публичными инструментами вместо того, чтобы доверять нам. Артефакты каждого опубликованного выпуска и есть доказательство.
Цепочка поставок
Пайплайн выпуска генерирует эти артефакты автоматически, и каждый из них есть в каждом помеченном тегом выпуске: скачайте артефакты и проверьте их публичными инструментами.
Каждый бинарный файл выпуска собирается GitHub Actions с аттестацией происхождения SLSA через slsa-github-generator. Аттестация доказывает, что бинарный файл собран из зафиксированного исходного кода в защищённой среде сборки без ручного вмешательства.
Как работает проверкаМанифест контрольных сумм и образ контейнера подписываются Sigstore cosign (бесключевой режим через Fulcio + Rekor); выпуск содержит SBOM в формате SPDX и документ OpenVEX, а набор — происхождение SLSA, и каждое проверяется по своему пути. Вы можете проверить без распространения нами открытого ключа — журнал прозрачности является корнем доверия.
Руководство по проверкеКаждый выпуск включает SBOM в формате SPDX с перечнем каждой зависимости, её версии и лицензии. Машиночитаемый, аудируемый.
Как проверить SBOMИзвестные уязвимости и их применимость к каждому выпуску публикуются как документы OpenVEX. VEX-заявления различают «затронуто», «не затронуто» и «в расследовании».
Как проверяются рекомендацииМашиночитаемая политика раскрытия уязвимостей по адресу /.well-known/security.txt, соответствующая RFC 9116. Включает контакт, ссылку на политику и срок действия.
Просмотреть security.txtАрхитектура
Неизвестное состояние отклоняется, а не допускается. Каждое решение политики по умолчанию — отказ. Движок, не способный достичь хранилища политик, отклоняет все запросы, а не переходит в открытый режим.
Журнал аудита — только-добавление с криптографической цепочкой. События нельзя незаметно изменить или удалить — подделка разрывает цепочку и обнаруживается.
Движок работает полностью в вашей среде. Проверка лицензии offline (проверка подписи Ed25519). Без телеметрии, без обязательных сетевых вызовов, без сервера активации.
RBAC и ABAC на базе Cedar с ограниченными грантами. Пользовательские роли, потолки делегирования и аварийный доступ с двойным контролем. Набор разрешений по умолчанию пуст. Пользовательские роли, ограниченные гранты и аварийный доступ входят в Business.
Соответствие
Мы публикуем то, что уже работает, и то, что ещё не начато. Мы не заявляем сертификации, которых не получили.
RFC 9116 security.txt
Машиночитаемая политика раскрытия уязвимостей, доступна по адресу /.well-known/security.txt.
SLSA Build Level 3
Аттестация происхождения через slsa-github-generator — построена и выполняется в CI; публикуется с каждым помеченным выпуском.
SBOM (SPDX)
Перечень компонентов ПО генерируется для каждой сборки выпуска.
Бесключевые подписи cosign
Подписание артефактов на основе Sigstore через Fulcio + Rekor.
Рекомендации OpenVEX
Заявления о применимости уязвимостей по выпускам.
SOC 2 Type II
Запланирован.
ISO 27001
Запланирован. Сроки не подтверждены.
Независимый тест на проникновение
Запланирован. Будет опубликован по завершении.
Готовность по фреймворкам
Business отображает возможности на 26 каталогов фреймворков соответствия. Ниже представлена позиция готовности для фреймворков, наиболее запрашиваемых корпоративными покупателями. Каждый пункт — это отображение готовности, а не сертификация.
Отображение контролей Приложения A с указателями на доказательства. Не сертифицирован.
Отображение готовности AIMS — продукт генерирует доказательства, необходимые для AIMS. Не сертифицирован.
Отображение Trust Services Criteria (Security / Common Criteria). Не аттестован.
Шаблон технической документации Приложения IV. Продукт является инструментом управления, а не системой Приложения III.
Самооценки CAIQ v4 и AI-CAIQ (AICM v1.0) подготовлены. Не отправлены в STAR Registry.
Runbook RTBF с crypto-shred, аттестация резидентности, хранение и юридическое удержание. Самостоятельное размещение: клиент является контролёром и обработчиком.
Отображение подкатегорий, включая профиль генеративного ИИ (AI 600-1).
Экспорт представления ИКТ-рисков; генератор реестра информации включён в Compliance Packs подписки Business.
Отображение обязательств с позицией ICT-цепочки поставок и доказательствами уведомления об инцидентах.
Пакет доверия
Пакет доверия можно скачать в этом Центре доверия, и он входит в публичный репозиторий исходного кода. Корпоративные покупатели могут запросить полный пакет — включая предварительно заполненные опросники и руководство по оценке — через enterprise@olivares.ai.
Доступные файлы — публичные снимки Markdown. Каждый начинается со строки заголовка, в которой указаны дата снимка и хеш SHA-256 всего, что следует за этой строкой и пустой строкой после неё. Материалы без источника для публикации предоставляются по запросу.
CSA Cloud Controls Matrix v4 — 17 доменов с указателями на доказательства.
Скачать (Markdown)CSA AI Controls Matrix v1.0 — 18 доменов, включая Model Security.
Скачать (Markdown)33 предварительно проверенных ответа, согласованных с SIG 2026, CSA AI-CAIQ и стандартными опросниками покупателей.
Скачать (Markdown)Архитектура для покупателя: три зоны доверия, топологии развёртывания, HA/DR, размерность.
Скачать (Markdown)Подтверждение ценности за 10 рабочих дней — критерии pass/fail против реального бинарника.
Скачать (Markdown)Business включает коммерческую лицензию, подписанный канал релизов и четыре семейства возможностей: Regulated Operations, AI Runtime Security, Compliance Packs, Identity & Scale. Ничего не продаётся отдельно.
Скачать (Markdown)Верификация модели угроз с доказательствами file:line — готов к пентесту.
Доступно по запросуVoluntary Product Accessibility Template для консоли администратора.
Скачать (Markdown)Обработка данных
Olivares AI — это самостоятельно размещаемое ПО. Данные управления Olivares — инвентарь, карта доступа, состояние политик и аудиторские свидетельства — по умолчанию остаются в инфраструктуре под вашим контролем, и субпроцессоров данных клиентов нет. Запросы к размещённым провайдерам моделей, а также настроенные вами направления вывода и телеметрии идут к выбранным вами поставщикам — это ваши поставщики, а не наши; продукт каталогизирует их в инвентаре для вашего управления рисками третьих сторон. Сам Olivares не совершает обязательных вызовов «домой».
Наш собственный сайт, лицензирование и коммуникации используют:
Хостинг сайта, DNS и защита от ботов.
Доставка транзакционной почты.
Merchant of record для коммерческих лицензий.
Хостинг исходного кода и сообщество.
Мы не используем поставщика клиентской аналитики и не запускаем аналитику в браузере.
Проверьте сами
Получите scripts/verify-release.sh из доверенного checkout исходного кода тега выпуска; скрипт не входит в артефакты выпуска. Запускайте его из каталога скачанных файлов. Проверке без ключа нужны корни доверия Sigstore и доступ к сети.
/path/to/olivares/scripts/verify-release.sh --source-tag <version>--source-tag <version> закрепляет только происхождение SLSA и требует slsa-verifier. Сравнение контрольных сумм SHA-256 не требует сети; подтверждение подлинности манифеста по-прежнему требует проверки подписи. --offline исключает запрос Rekor, но не все сетевые зависимости. Подписи без ключа и аттестации SBOM/OpenVEX требуют корней доверия Sigstore, если их нет в кеше; у SLSA здесь нет офлайн-параметра. Пропущенные проверки не выполнены. Требования описаны в руководстве.
Разверните демонстрационную среду за пять минут, затем проведите полное подтверждение ценности за 10 рабочих дней. Руководство по оценке включает критерии pass/fail против реального бинарника — без слайдов, без песочницы, без демо-среды, отличающейся от продуктивной.
Пока нет. Для обоих стандартов — SOC 2 (Trust Services Criteria) и ISO 27001 (контроли Приложения A) — существуют карты готовности со ссылками на доказательства в кодовой базе. Мы публикуем статус, а не заявления.
Пока нет. Запланирован независимый тест на проникновение, который будет опубликован по завершении.
Получите scripts/verify-release.sh из доверенного checkout исходного кода тега выпуска; скрипт не входит в артефакты выпуска. Проверке без ключа нужны корни доверия Sigstore и доступ к сети. --source-tag <version> закрепляет проверку происхождения SLSA за тегом <version>; она требует slsa-verifier и пропускается при отсутствии инструмента или сведений о происхождении. Проверки подписей и аттестаций SBOM/OpenVEX по умолчанию принимают любой тег выпуска из рабочего процесса подписи проекта, а не только <version>. Пропущенные проверки не выполнены. Требования и проверка контейнерных образов описаны в руководстве.
Данные управления Olivares (инвентарь, карта доступа, состояние политик и аудиторские свидетельства) при самостоятельном размещении по умолчанию остаются в инфраструктуре под вашим контролем. Запросы к размещённым провайдерам моделей, которых вы выбираете, и данные для направлений вывода или телеметрии, которые вы настраиваете, уходят в эти внешние сервисы. Сервисы, которые мы используем для сайта, лицензирования и коммуникаций, перечислены на этой странице отдельно.
Да — DPA по ст. 28 GDPR предоставляется по запросу через enterprise@olivares.ai для корпоративных закупок, даже при самостоятельном размещении, где вы остаётесь контролёром и обработчиком собственных данных.
Business отображает 26 каталогов фреймворков, включая EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM и законы штатов США об ИИ. Каждый фреймворк — это данные с доказательствами по каждому контролю, а не заявление о сертификации.
Установите подписанный выпуск или соберите из исходного кода, запустите демонстрационную среду за пять минут и следуйте 10-дневному руководству по оценке. Каждый критерий — pass/fail против реального бинарника. Свяжитесь с enterprise@olivares.ai для получения корпоративной лицензии на оценку на время POV.
Community — полная бесплатная платформа AGPL-3.0 без ограничения пользователей, с одним активным провайдером идентификации. Business включает коммерческую лицензию, подписанный канал релизов и четыре семейства платных возможностей. Enterprise добавляет согласованные условия договора. Если нужно больше юридических лиц, развёртываний или провайдеров идентификации, air-gap, особый LTS, OEM/MSP или цели поддержки, обратитесь по поводу Enterprise.
Каждый публичный выпуск поставляется подписанным, аттестованным и задокументированным — проверьте целостность сами.