Usklađenost implementacija Verifactu otvorenog koda

Španjolski sustav Verifactu (RD 1007/2023, Orden HAC/1177/2024) zahtijeva da softver za izdavanje računa stvara zapise XML ulančane hashevima. GitHub smo sustavno pretražili putem njegovih API-ja za pretraživanje koda i repozitorija (1.008 repozitorija, 29.491 datoteka XML), svaku datoteku koja sadrži oznaku zapisa Verifactu klasificirali smo prije provjere linterom, a korpus smo revidirali alatom verifactu-lint 0.4.0, koji održavaju autori. Takav XML objavljuje samo 63 repozitorija trećih strana, a većina tog XML-a ne tvrdi da je valjan zapis: 81 od 191 jedinstvene datoteke jesu predlošci, uglavnom kopije primjera iz vlastite dokumentacije AEAT-a, čija polja hasha doslovno glase Huella ili AAAA. Od 35 datoteka koje se doista predstavljaju kao valjani zapisi njih 10 (28,6 %; 95 % CI 16,3–45,1) sadrži barem jedan ERROR; 6 od 19 repozitorija (31,6 %; 95 % CI 15,4–54,0) objavljuje barem jednu takvu datoteku. Najčešći nedostatak, u 5 od 19 repozitorija, deklarirani je hash koji ne odgovara hashu izračunanom iz polja zapisa. Svih 22 nalaza ERROR pojedinačno je pregledao agent studije utemeljen na LLM-u, a hashevi su ponovno izračunani neovisnom implementacijom: nije pronađen nijedan lažno pozitivan rezultat (0/22; nalazi nisu neovisni, a za 12 različitih situacija repozitorij–pravilo gornja 95-postotna granica iznosi 24,3 %). Od 35 datoteka njih 34 sadrži jedan jedini zapis, pa javni primjeri XML-a ne mogu poslužiti kao referenca za lanac hasheva, a izvan vlastitog repozitorija instrumenta nitko ne objavljuje namjerno nevaljan zapis.