Overensstemmelse i open source-implementeringer af Verifactu

Spaniens Verifactu-ordning (RD 1007/2023, Orden HAC/1177/2024) kræver, at faktureringssoftware udsender hashkædede XML-poster. Vi gennemsøgte GitHub systematisk via dets søge-API'er til kode og repositorier (1.008 repositorier, 29.491 XML-filer), klassificerede hver fil med en Verifactu-postmarkør, før vi lintede den, og auditerede korpusset med verifactu-lint 0.4.0, som vedligeholdes af forfatterne. Kun 63 tredjepartsrepositorier offentliggør sådan XML, og det meste af den hævder ikke at være en gyldig post: 81 af 191 unikke filer er skabeloner, for det meste kopier af eksemplerne i AEAT's egen dokumentation, hvis hashfelter bogstaveligt lyder Huella eller AAAA. Af de 35 filer, der faktisk foregiver at være gyldige poster, indeholder 10 (28,6 %, 95 %-KI 16,3–45,1) mindst ét ERROR-fund; 6 af 19 repositorier (31,6 %, 95 %-KI 15,4–54,0) offentliggør mindst én sådan fil. Den hyppigste mangel, i 5 af de 19 repositorier, er en angivet hash, der ikke stemmer med den, der beregnes ud fra postens felter. Alle 22 ERROR-fund blev gennemgået ét for ét af den LLM-baserede studieagent, med hashes genberegnet af en uafhængig implementering: Der blev ikke fundet nogen falske positiver (0/22; fundene er ikke uafhængige, og over de 12 forskellige situationer af repositorium og regel er den øvre 95 %-grænse 24,3 %). 34 af de 35 filer indeholder en enkelt post, så offentlige XML-eksempler kan ikke tjene som reference for hashkæden, og uden for instrumentets eget repositorium offentliggør ingen en bevidst ugyldig post.