Машинний переклад. Авторитетним джерелом є англійська версія; перевірка носієм мови ще не виконана.
Безпека · Довіра
Кожен публічний випуск постачається підписаним, засвідченим та з переліком компонентів ПЗ — ви перевіряєте походження та цілісність публічними інструментами, замість того щоб довіряти нам. Пайплайн уже побудований і виконується в CI; його докази стануть публічними з першим випуском.
Ланцюг постачання
Пайплайн випуску генерує ці артефакти автоматично. Публічного випуску ще немає — пункти з позначкою «перший випуск» стануть придатними до перевірки в момент публікації першого міченого випуску; security.txt працює вже сьогодні.
Кожен бінарний файл випуску збирається GitHub Actions з атестацією походження SLSA через slsa-github-generator. Атестація доводить, що бінарний файл зібраний із зафіксованого вихідного коду в захищеному середовищі збірки без ручного втручання.
Як працює перевіркаАртефакти випуску підписуються Sigstore cosign (безключовий режим через Fulcio + Rekor). Ви можете перевірити підписи без розповсюдження нами відкритого ключа — журнал прозорості є коренем довіри.
Посібник з перевіркиКожен випуск містить SBOM у форматах CycloneDX та SPDX із переліком кожної залежності з версією та ліцензією. Машиночитабельний, перевіряємий.
Як перевірити SBOMВідомі вразливості та їхня застосовність до кожного випуску публікуються як документи OpenVEX. Заяви VEX розрізняють «уражено», «не уражено» та «під розслідуванням».
Як перевіряються порадиМашиночитабельна політика розкриття вразливостей за адресою /.well-known/security.txt відповідно до RFC 9116. Містить контакт, посилання на політику та дату закінчення.
Переглянути security.txtАрхітектура
Невідомий стан відхиляється, а не дозволяється. Кожне рішення політики за замовчуванням — відмова. Движок, що не може досягти сховища політик, відхиляє всі запити, а не переходить у відкритий режим.
Журнал аудиту — тільки-додавання з криптографічним ланцюгом. Події не можна непомітно змінити або видалити — підробка розриває ланцюг і виявляється.
Движок працює повністю у вашому середовищі. Перевірка ліцензії offline (перевірка підпису Ed25519). Без телеметрії, без обов'язкових мережевих викликів, без сервера активації.
RBAC та ABAC на базі Cedar з обмеженими грантами. Користувацькі ролі, стелі делегування та аварійний доступ з подвійним контролем. Набір дозволів за замовчуванням порожній.
Відповідність
Ми публікуємо те, що вже працює, що побудовано й чекає на перший публічний випуск, і що ще не розпочато. Ми не заявляємо сертифікації, яких не отримали.
RFC 9116 security.txt
Машиночитабельна політика розкриття вразливостей, доступна за адресою /.well-known/security.txt.
SLSA Build Level 3
Атестація походження через slsa-github-generator — побудована та виконується в CI; публікується з кожним міченим випуском.
SBOM (CycloneDX + SPDX)
Перелік компонентів ПЗ генерується для кожної збірки випуску.
Безключові підписи cosign
Підписання артефактів на основі Sigstore через Fulcio + Rekor.
Поради OpenVEX
Заяви про застосовність вразливостей по випусках.
SOC 2 Type II
Заплановано. Потрібно для керованої хмари, не для самостійного розміщення.
ISO 27001
Заплановано. Терміни не підтверджені.
Незалежний тест на проникнення
Заплановано. Буде опублікований після завершення.
Готовність за фреймворками
Продукт відображає можливості на 25 каталогів фреймворків відповідності. Нижче наведено позицію готовності для фреймворків, найбільш запитуваних корпоративними покупцями. Кожен пункт — це відображення готовності, а не сертифікація.
Відображення контролів Додатку A з вказівниками на докази. Не сертифіковано.
Відображення готовності AIMS — продукт генерує докази, необхідні для AIMS. Не сертифіковано.
Відображення Trust Services Criteria (Security / Common Criteria). Не атестовано.
Шаблон технічної документації Додатку IV. Продукт є інструментом управління, а не системою Додатку III.
Самооцінки CAIQ v4 та AI-CAIQ (AICM v1.0) підготовлені. Не подані до STAR Registry.
Runbook RTBF з crypto-shred, атестація резидентності, збереження та юридичне утримання. Самостійне розміщення: клієнт є контролером та обробником.
Відображення підкатегорій, включаючи профіль генеративного ШІ (AI 600-1).
Експорт подання ICT-ризиків; генератор реєстру інформації — корпоративне доповнення.
Відображення зобов'язань з позицією ICT-ланцюга постачання та доказами повідомлення про інциденти.
Пакет довіри
Пакет довіри опублікований у репозиторії вихідного коду. Корпоративні покупці можуть запросити повний пакет — включаючи попередньо заповнені опитувальники та посібник з оцінки — через enterprise@olivares.ai.
Доступні файли — це публічні знімки Markdown із зазначенням походження. Матеріали без джерела для публікації надаються за запитом.
CSA Cloud Controls Matrix v4 — 17 доменів з вказівниками на докази.
Завантажити (Markdown)CSA AI Controls Matrix v1.0 — 18 доменів, включаючи Model Security.
Завантажити (Markdown)33 попередньо перевірені відповіді, узгоджені з SIG 2026, CSA AI-CAIQ та стандартними опитувальниками покупців.
Завантажити (Markdown)Архітектура для покупця: три зони довіри, топології розгортання, HA/DR, розмірність.
Завантажити (Markdown)Підтвердження цінності за 10 робочих днів — критерії pass/fail проти реального бінарника.
Завантажити (Markdown)Повне порівняння Community (AGPL) vs Enterprise — усі 26 доповнень.
Завантажити (Markdown)Верифікація моделі загроз з доказами file:line — готовий до пентесту.
Доступно за запитомVoluntary Product Accessibility Template для консолі адміністратора.
Завантажити (Markdown)Обробка даних
Olivares AI — це ПЗ із самостійним розміщенням. Продукт працює повністю у вашій інфраструктурі — дані ніколи не залишають ваш периметр. Субпроцесорів даних клієнтів немає. Провайдери LLM — це ваші постачальники, а не наші; продукт інвентаризує їх для вашого управління ризиками третіх сторін.
Якщо буде введена пропозиція керованої хмари, субпроцесори будуть перелічені тут до початку будь-якої обробки даних.
Наш власний сайт, ліцензування й комунікації використовують:
Хостинг сайту, DNS і захист від ботів.
Транзакційна пошта й доставка розсилки.
Офіційний продавець комерційних ліцензій.
Хостинг вихідного коду й спільнота.
Ми не використовуємо постачальника клієнтської аналітики й не запускаємо аналітику у браузері.
Перевірте самі
Починаючи з першого публічного випуску, кожне твердження про артефакти на цій сторінці можна перевірити публічними інструментами — доданий скрипт проходить підписи, атестації та цілісність SBOM. Спочатку завантажте артефакти; ніколи не передавайте інсталятор через pipe в shell.
# Постачається з першим публічним випуском — завантажте артефакти
# випуску, потім запустіть доданий верифікатор з того каталогу:
scripts/verify-release.sh # безключовий (Sigstore)
scripts/verify-release.sh --key cosign.pub --offline # ізольовано, без мережіСкрипт перевіряє підписи cosign, походження SLSA, а також SBOM та атестації OpenVEX. Повний ланцюг ручних команд задокументований у посібнику з перевірки випуску в документації.
Розгорніть демонстраційне середовище за п'ять хвилин, потім проведіть повне підтвердження цінності за 10 робочих днів. Посібник з оцінки включає критерії pass/fail проти реального бінарника — без слайдів, без пісочниці, без демо-середовища, що відрізняється від продуктивного.
Поки що ні. SOC 2 Type II заплановано для рівня керованої хмари. Ми чесні щодо нашого стану: пайплайн ланцюга постачання (SLSA L3, SBOM, cosign, OpenVEX) побудований, а його докази публікуються з першим публічним випуском.
Поки що ні. Запланований незалежний тест на проникнення, який буде опублікований після завершення.
Щойно вийде перший публічний випуск: запустіть доданий скрипт перевірки (scripts/verify-release.sh) або перевірте вручну за допомогою cosign — кожен випуск має атестацію походження SLSA та підписи cosign, довіра до нас не потрібна. До того часу немає публічного артефакту для перевірки, і ця сторінка каже про це прямо, замість того щоб вдавати протилежне.
Olivares AI розміщується самостійно — ваші дані залишаються у вашій власній інфраструктурі. Постачальник ніколи не бачить, не зберігає і не обробляє ваші дані. Керована хмара (при доступності) запропонує зобов'язання щодо резидентності даних.
DPA проходить юридичну перевірку. До початку будь-якої взаємодії з обробкою персональних даних документ надається за запитом через enterprise@olivares.ai.
Продукт відображає 25 каталогів фреймворків, включаючи EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM та закони штатів США про ШІ. Кожен фреймворк — це дані з доказами по кожному контролю, а не заява про сертифікацію.
Зберіть із вихідного коду, запустіть демонстраційне середовище за п'ять хвилин і дотримуйтесь 10-денного посібника з оцінки. Кожен критерій — pass/fail проти реального бінарника. Зверніться до enterprise@olivares.ai для отримання корпоративної ліцензії на оцінку, що розблоковує 26 доповнень під час POV.
Збірка AGPL — це повна платформа, нічого не видалено. Enterprise додає 26 можливостей зменшення ризиків та масштабної операції (мультиIdP, контентний файрвол, WORM-збереження, реєстр DORA тощо) плюс юридичний виняток із copyleft AGPL та підтримку з SLA. Повна матриця функцій знаходиться в пакеті довіри.
Кожен публічний випуск постачається підписаним, засвідченим та задокументованим — перевірте цілісність самі. Докази публічні з першого випуску.