Машинний переклад. Авторитетним джерелом є англійська версія; перевірка носієм мови ще не виконана.
Безпека · Довіра
Кожен публічний випуск постачається підписаним, засвідченим та з переліком компонентів ПЗ — ви перевіряєте походження та цілісність публічними інструментами, замість того щоб довіряти нам. Артефакти кожного опублікованого випуску і є доказом.
Ланцюг постачання
Пайплайн випуску генерує ці артефакти автоматично, і кожен із них є в кожному позначеному тегом випуску: завантажте артефакти та перевірте їх публічними інструментами.
Кожен бінарний файл випуску збирається GitHub Actions з атестацією походження SLSA через slsa-github-generator. Атестація доводить, що бінарний файл зібраний із зафіксованого вихідного коду в захищеному середовищі збірки без ручного втручання.
Як працює перевіркаМаніфест контрольних сум і образ контейнера підписуються Sigstore cosign (безключовий режим через Fulcio + Rekor); реліз містить SBOM у форматі SPDX і документ OpenVEX, а набір — походження SLSA, і кожне перевіряється своїм шляхом. Ви можете перевірити без розповсюдження нами відкритого ключа — журнал прозорості є коренем довіри.
Посібник з перевіркиКожен випуск містить SBOM у форматі SPDX із переліком кожної залежності з версією та ліцензією. Машиночитабельний, перевіряємий.
Як перевірити SBOMВідомі вразливості та їхня застосовність до кожного випуску публікуються як документи OpenVEX. Заяви VEX розрізняють «уражено», «не уражено» та «під розслідуванням».
Як перевіряються порадиМашиночитабельна політика розкриття вразливостей за адресою /.well-known/security.txt відповідно до RFC 9116. Містить контакт, посилання на політику та дату закінчення.
Переглянути security.txtАрхітектура
Невідомий стан відхиляється, а не дозволяється. Кожне рішення політики за замовчуванням — відмова. Движок, що не може досягти сховища політик, відхиляє всі запити, а не переходить у відкритий режим.
Журнал аудиту — тільки-додавання з криптографічним ланцюгом. Події не можна непомітно змінити або видалити — підробка розриває ланцюг і виявляється.
Движок працює повністю у вашому середовищі. Перевірка ліцензії offline (перевірка підпису Ed25519). Без телеметрії, без обов'язкових мережевих викликів, без сервера активації.
RBAC та ABAC на базі Cedar з обмеженими грантами. Користувацькі ролі, стелі делегування та аварійний доступ з подвійним контролем. Набір дозволів за замовчуванням порожній. Користувацькі ролі, обмежені гранти та аварійний доступ входять до Business.
Відповідність
Ми публікуємо те, що вже працює, і те, що ще не розпочато. Ми не заявляємо сертифікації, яких не отримали.
RFC 9116 security.txt
Машиночитабельна політика розкриття вразливостей, доступна за адресою /.well-known/security.txt.
SLSA Build Level 3
Атестація походження через slsa-github-generator — побудована та виконується в CI; публікується з кожним міченим випуском.
SBOM (SPDX)
Перелік компонентів ПЗ генерується для кожної збірки випуску.
Безключові підписи cosign
Підписання артефактів на основі Sigstore через Fulcio + Rekor.
Поради OpenVEX
Заяви про застосовність вразливостей по випусках.
SOC 2 Type II
Заплановано.
ISO 27001
Заплановано. Терміни не підтверджені.
Незалежний тест на проникнення
Заплановано. Буде опублікований після завершення.
Готовність за фреймворками
Business відображає можливості на 26 каталогів фреймворків відповідності. Нижче наведено позицію готовності для фреймворків, найбільш запитуваних корпоративними покупцями. Кожен пункт — це відображення готовності, а не сертифікація.
Відображення контролів Додатку A з вказівниками на докази. Не сертифіковано.
Відображення готовності AIMS — продукт генерує докази, необхідні для AIMS. Не сертифіковано.
Відображення Trust Services Criteria (Security / Common Criteria). Не атестовано.
Шаблон технічної документації Додатку IV. Продукт є інструментом управління, а не системою Додатку III.
Самооцінки CAIQ v4 та AI-CAIQ (AICM v1.0) підготовлені. Не подані до STAR Registry.
Runbook RTBF з crypto-shred, атестація резидентності, збереження та юридичне утримання. Самостійне розміщення: клієнт є контролером та обробником.
Відображення підкатегорій, включаючи профіль генеративного ШІ (AI 600-1).
Експорт подання ІКТ-ризиків; генератор реєстру інформації входить до Compliance Packs підписки Business.
Відображення зобов'язань з позицією ICT-ланцюга постачання та доказами повідомлення про інциденти.
Пакет довіри
Пакет довіри можна завантажити в цьому Центрі довіри, і він входить до публічного репозиторію вихідного коду. Корпоративні покупці можуть запросити повний пакет — включаючи попередньо заповнені опитувальники та посібник з оцінки — через enterprise@olivares.ai.
Доступні файли — це публічні знімки Markdown. Кожен починається з рядка заголовка, у якому вказано дату знімка та хеш SHA-256 усього, що йде після цього рядка й порожнього рядка за ним. Матеріали без джерела для публікації надаються за запитом.
CSA Cloud Controls Matrix v4 — 17 доменів з вказівниками на докази.
Завантажити (Markdown)CSA AI Controls Matrix v1.0 — 18 доменів, включаючи Model Security.
Завантажити (Markdown)33 попередньо перевірені відповіді, узгоджені з SIG 2026, CSA AI-CAIQ та стандартними опитувальниками покупців.
Завантажити (Markdown)Архітектура для покупця: три зони довіри, топології розгортання, HA/DR, розмірність.
Завантажити (Markdown)Підтвердження цінності за 10 робочих днів — критерії pass/fail проти реального бінарника.
Завантажити (Markdown)Business включає комерційну ліцензію, підписаний канал релізів і чотири сімейства можливостей: Regulated Operations, AI Runtime Security, Compliance Packs, Identity & Scale. Нічого не продається окремо.
Завантажити (Markdown)Верифікація моделі загроз з доказами file:line — готовий до пентесту.
Доступно за запитомVoluntary Product Accessibility Template для консолі адміністратора.
Завантажити (Markdown)Обробка даних
Olivares AI — це ПЗ із самостійним розміщенням. Дані керування Olivares — інвентар, карта доступу, стан політик та аудиторські свідчення — за замовчуванням залишаються в інфраструктурі під вашим контролем, і субпроцесорів даних клієнтів немає. Запити до розміщених провайдерів моделей, а також налаштовані вами напрямки виводу й телеметрії йдуть до обраних вами постачальників — це ваші постачальники, а не наші; продукт каталогізує їх в інвентарі для вашого управління ризиками третіх сторін. Сам Olivares не робить обов’язкових викликів «додому».
Наш власний сайт, ліцензування й комунікації використовують:
Хостинг сайту, DNS і захист від ботів.
Доставка транзакційної пошти.
Merchant of record для комерційних ліцензій.
Хостинг вихідного коду й спільнота.
Ми не використовуємо постачальника клієнтської аналітики й не запускаємо аналітику у браузері.
Перевірте самі
Отримайте scripts/verify-release.sh з довіреного checkout вихідного коду тега випуску; скрипт не входить до артефактів випуску. Запускайте його з каталогу завантажених файлів. Перевірці без ключа потрібні корені довіри Sigstore та доступ до мережі.
/path/to/olivares/scripts/verify-release.sh --source-tag <version>--source-tag <version> закріплює лише походження SLSA та потребує slsa-verifier. Порівняння контрольних сум SHA-256 не потребує мережі; підтвердження справжності маніфесту все ще потребує перевірки підпису. --offline прибирає запит Rekor, але не всі мережеві залежності. Підписи без ключа та атестації SBOM/OpenVEX потребують коренів довіри Sigstore, якщо їх немає в кеші; SLSA тут не має офлайн-параметра. Пропущені перевірки не виконані. Вимоги описані в посібнику.
Розгорніть демонстраційне середовище за п'ять хвилин, потім проведіть повне підтвердження цінності за 10 робочих днів. Посібник з оцінки включає критерії pass/fail проти реального бінарника — без слайдів, без пісочниці, без демо-середовища, що відрізняється від продуктивного.
Поки що ні. Для обох стандартів — SOC 2 (Trust Services Criteria) та ISO 27001 (контролі Додатка A) — існують мапи готовності з посиланнями на докази в кодовій базі. Ми публікуємо стан, а не твердження.
Поки що ні. Запланований незалежний тест на проникнення, який буде опублікований після завершення.
Отримайте scripts/verify-release.sh з довіреного checkout вихідного коду тега випуску; скрипт не входить до артефактів випуску. Перевірці без ключа потрібні корені довіри Sigstore та доступ до мережі. --source-tag <version> закріплює перевірку походження SLSA за тегом <version>; вона потребує slsa-verifier і пропускається, якщо немає інструмента або відомостей про походження. Типові перевірки підписів та атестацій SBOM/OpenVEX приймають будь-який тег випуску з робочого процесу підписування проєкту, а не лише <version>. Пропущені перевірки не виконані. Вимоги та перевірка контейнерних образів описані в посібнику.
Дані керування Olivares (інвентар, карта доступу, стан політик та аудиторські свідчення) за самостійного розміщення за замовчуванням залишаються в інфраструктурі під вашим контролем. Запити до розміщених провайдерів моделей, яких ви обираєте, і дані для напрямків виводу або телеметрії, які ви налаштовуєте, надходять до цих зовнішніх сервісів. Сервіси, які ми використовуємо для сайту, ліцензування та комунікацій, перелічено на цій сторінці окремо.
Так — DPA за ст. 28 GDPR надається за запитом через enterprise@olivares.ai для корпоративних закупівель, навіть при самостійному розміщенні, де ви залишаєтеся контролером та обробником власних даних.
Business відображає 26 каталогів фреймворків, включаючи EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM та закони штатів США про ШІ. Кожен фреймворк — це дані з доказами по кожному контролю, а не заява про сертифікацію.
Встановіть підписаний випуск або зберіть із вихідного коду, запустіть демонстраційне середовище за п’ять хвилин і дотримуйтесь 10-денного посібника з оцінки. Кожен критерій — pass/fail проти реального бінарника. Зверніться до enterprise@olivares.ai для отримання корпоративної ліцензії на оцінку на час POV.
Community — повна безкоштовна платформа AGPL-3.0 без обмеження користувачів, з одним активним провайдером ідентифікації. Business включає комерційну ліцензію, підписаний канал релізів і чотири сімейства платних можливостей. Enterprise додає узгоджені умови договору. Якщо потрібно більше юридичних осіб, розгортань або провайдерів ідентифікації, air-gap, особливий LTS, OEM/MSP чи цілі підтримки, зверніться щодо Enterprise.
Кожен публічний випуск постачається підписаним, засвідченим та задокументованим — перевірте цілісність самі.