Машинний переклад. Авторитетним джерелом є англійська версія; перевірка носієм мови ще не виконана.
Безпека · Довіра
Кожен публічний випуск постачається підписаним, засвідченим та з переліком компонентів ПЗ — ви перевіряєте походження та цілісність публічними інструментами, замість того щоб довіряти нам. Перший позначений тегом випуск, v26.8.0, опубліковано; його артефакти і є доказом.
Ланцюг постачання
Пайплайн випуску генерує ці артефакти автоматично, і кожен із них є в першому позначеному тегом випуску, v26.8.0 (2026-09-01): завантажте артефакти та перевірте їх публічними інструментами.
Кожен бінарний файл випуску збирається GitHub Actions з атестацією походження SLSA через slsa-github-generator. Атестація доводить, що бінарний файл зібраний із зафіксованого вихідного коду в захищеному середовищі збірки без ручного втручання.
Як працює перевіркаМаніфест контрольних сум і образ контейнера підписуються Sigstore cosign (безключовий режим через Fulcio + Rekor); архіви несуть атестації SBOM та OpenVEX, а набір — походження SLSA, і кожне перевіряється своїм шляхом. Ви можете перевірити без розповсюдження нами відкритого ключа — журнал прозорості є коренем довіри.
Посібник з перевіркиКожен випуск містить SBOM у форматах CycloneDX та SPDX із переліком кожної залежності з версією та ліцензією. Машиночитабельний, перевіряємий.
Як перевірити SBOMВідомі вразливості та їхня застосовність до кожного випуску публікуються як документи OpenVEX. Заяви VEX розрізняють «уражено», «не уражено» та «під розслідуванням».
Як перевіряються порадиМашиночитабельна політика розкриття вразливостей за адресою /.well-known/security.txt відповідно до RFC 9116. Містить контакт, посилання на політику та дату закінчення.
Переглянути security.txtАрхітектура
Невідомий стан відхиляється, а не дозволяється. Кожне рішення політики за замовчуванням — відмова. Движок, що не може досягти сховища політик, відхиляє всі запити, а не переходить у відкритий режим.
Журнал аудиту — тільки-додавання з криптографічним ланцюгом. Події не можна непомітно змінити або видалити — підробка розриває ланцюг і виявляється.
Движок працює повністю у вашому середовищі. Перевірка ліцензії offline (перевірка підпису Ed25519). Без телеметрії, без обов'язкових мережевих викликів, без сервера активації.
RBAC та ABAC на базі Cedar з обмеженими грантами. Користувацькі ролі, стелі делегування та аварійний доступ з подвійним контролем. Набір дозволів за замовчуванням порожній.
Відповідність
Ми публікуємо те, що вже працює, і те, що ще не розпочато. Ми не заявляємо сертифікації, яких не отримали.
RFC 9116 security.txt
Машиночитабельна політика розкриття вразливостей, доступна за адресою /.well-known/security.txt.
SLSA Build Level 3
Атестація походження через slsa-github-generator — побудована та виконується в CI; публікується з кожним міченим випуском.
SBOM (CycloneDX + SPDX)
Перелік компонентів ПЗ генерується для кожної збірки випуску.
Безключові підписи cosign
Підписання артефактів на основі Sigstore через Fulcio + Rekor.
Поради OpenVEX
Заяви про застосовність вразливостей по випусках.
SOC 2 Type II
Заплановано. Потрібно для керованої хмари, не для самостійного розміщення.
ISO 27001
Заплановано. Терміни не підтверджені.
Незалежний тест на проникнення
Заплановано. Буде опублікований після завершення.
Готовність за фреймворками
Продукт відображає можливості на 26 каталогів фреймворків відповідності. Нижче наведено позицію готовності для фреймворків, найбільш запитуваних корпоративними покупцями. Кожен пункт — це відображення готовності, а не сертифікація.
Відображення контролів Додатку A з вказівниками на докази. Не сертифіковано.
Відображення готовності AIMS — продукт генерує докази, необхідні для AIMS. Не сертифіковано.
Відображення Trust Services Criteria (Security / Common Criteria). Не атестовано.
Шаблон технічної документації Додатку IV. Продукт є інструментом управління, а не системою Додатку III.
Самооцінки CAIQ v4 та AI-CAIQ (AICM v1.0) підготовлені. Не подані до STAR Registry.
Runbook RTBF з crypto-shred, атестація резидентності, збереження та юридичне утримання. Самостійне розміщення: клієнт є контролером та обробником.
Відображення підкатегорій, включаючи профіль генеративного ШІ (AI 600-1).
Експорт подання ICT-ризиків; генератор реєстру інформації — корпоративне доповнення.
Відображення зобов'язань з позицією ICT-ланцюга постачання та доказами повідомлення про інциденти.
Пакет довіри
Пакет довіри можна завантажити в цьому Центрі довіри, і він входить до публічного репозиторію вихідного коду. Корпоративні покупці можуть запросити повний пакет — включаючи попередньо заповнені опитувальники та посібник з оцінки — через enterprise@olivares.ai.
Доступні файли — це публічні знімки Markdown із зазначенням походження. Матеріали без джерела для публікації надаються за запитом.
CSA Cloud Controls Matrix v4 — 17 доменів з вказівниками на докази.
Завантажити (Markdown)CSA AI Controls Matrix v1.0 — 18 доменів, включаючи Model Security.
Завантажити (Markdown)33 попередньо перевірені відповіді, узгоджені з SIG 2026, CSA AI-CAIQ та стандартними опитувальниками покупців.
Завантажити (Markdown)Архітектура для покупця: три зони довіри, топології розгортання, HA/DR, розмірність.
Завантажити (Markdown)Підтвердження цінності за 10 робочих днів — критерії pass/fail проти реального бінарника.
Завантажити (Markdown)Повне порівняння Community (AGPL) vs Enterprise — повний набір доповнень Enterprise.
Завантажити (Markdown)Верифікація моделі загроз з доказами file:line — готовий до пентесту.
Доступно за запитомVoluntary Product Accessibility Template для консолі адміністратора.
Завантажити (Markdown)Обробка даних
Olivares AI — це ПЗ із самостійним розміщенням. Дані керування Olivares — інвентар, карта доступу, стан політик та аудиторські свідчення — за замовчуванням залишаються в інфраструктурі під вашим контролем, і субпроцесорів даних клієнтів немає. Запити до розміщених провайдерів моделей, а також налаштовані вами напрямки виводу й телеметрії йдуть до обраних вами постачальників — це ваші постачальники, а не наші; продукт каталогізує їх в інвентарі для вашого управління ризиками третіх сторін. Сам Olivares не робить обов’язкових викликів «додому».
Якщо буде введена пропозиція керованої хмари, субпроцесори будуть перелічені тут до початку будь-якої обробки даних.
Наш власний сайт, ліцензування й комунікації використовують:
Хостинг сайту, DNS і захист від ботів.
Транзакційна пошта й доставка розсилки.
Merchant of record для комерційних ліцензій.
Хостинг вихідного коду й спільнота.
Ми не використовуємо постачальника клієнтської аналітики й не запускаємо аналітику у браузері.
Перевірте самі
Кожне твердження про артефакти на цій сторінці можна перевірити публічними інструментами проти опублікованого випуску — доданий скрипт перевіряє ті файли, які розпізнає (підписаний cosign маніфест контрольних сум, атестації SBOM та OpenVEX, походження SLSA), і повідомляє, що пропустив; образи контейнерів перевіряються за digest. Спочатку завантажте артефакти; ніколи не передавайте інсталятор через pipe в shell.
# Завантажте артефакти випуску (v26.8.0 або новіші), потім запустіть
# доданий верифікатор з того каталогу:
scripts/verify-release.sh # безключовий (Sigstore)
scripts/verify-release.sh --key cosign.pub --offline # ізольовано, без мережіСкрипт перевіряє підписи cosign, походження SLSA, а також SBOM та атестації OpenVEX. Повний ланцюг ручних команд задокументований у посібнику з перевірки випуску в документації.
Розгорніть демонстраційне середовище за п'ять хвилин, потім проведіть повне підтвердження цінності за 10 робочих днів. Посібник з оцінки включає критерії pass/fail проти реального бінарника — без слайдів, без пісочниці, без демо-середовища, що відрізняється від продуктивного.
Поки що ні. Для обох стандартів — SOC 2 (Trust Services Criteria) та ISO 27001 (контролі Додатка A) — існують мапи готовності з посиланнями на докази в кодовій базі. SOC 2 Type II заплановано для рівня керованої хмари. Ми публікуємо стан, а не твердження.
Поки що ні. Запланований незалежний тест на проникнення, який буде опублікований після завершення.
Запустіть доданий скрипт перевірки (scripts/verify-release.sh) над завантаженими артефактами v26.8.0 або новішими чи перевірте вручну за допомогою cosign — маніфест контрольних сум підписано cosign, архіви несуть атестації SBOM та OpenVEX, а набір — походження SLSA. Довіра до нас не потрібна: журнал прозорості є коренем довіри.
Olivares AI розміщується самостійно — ваші дані залишаються у вашій власній інфраструктурі. Постачальник ніколи не бачить, не зберігає і не обробляє ваші дані. Субпроцесорів немає. Керована хмара (при доступності) запропонує зобов'язання щодо резидентності даних.
Так — DPA за ст. 28 GDPR надається за запитом через enterprise@olivares.ai для корпоративних закупівель, навіть при самостійному розміщенні, де ви залишаєтеся контролером та обробником власних даних. Майбутня керована хмара опублікує власну DPA та список субпроцесорів.
Продукт відображає 26 каталогів фреймворків, включаючи EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM та закони штатів США про ШІ. Кожен фреймворк — це дані з доказами по кожному контролю, а не заява про сертифікацію.
Встановіть підписаний випуск або зберіть із вихідного коду, запустіть демонстраційне середовище за п’ять хвилин і дотримуйтесь 10-денного посібника з оцінки. Кожен критерій — pass/fail проти реального бінарника. Зверніться до enterprise@olivares.ai для отримання корпоративної ліцензії на оцінку на час POV.
Збірка AGPL — це повна платформа, нічого не видалено. Enterprise додає повний набір можливостей зменшення ризиків та масштабної операції (мультиIdP, контентний файрвол, WORM-збереження, реєстр DORA тощо) плюс юридичний виняток із copyleft AGPL та комерційну підтримку, обсяг якої публікується при запуску. Повна матриця функцій знаходиться в пакеті довіри.
Кожен публічний випуск постачається підписаним, засвідченим та задокументованим — перевірте цілісність самі. Перший позначений тегом випуск, v26.8.0, опубліковано.