Zgodność otwartoźródłowych implementacji Verifactu

Hiszpański system Verifactu (RD 1007/2023, Orden HAC/1177/2024) wymaga, aby oprogramowanie do fakturowania generowało rekordy XML powiązane w łańcuch hashy. Systematycznie przeszukaliśmy GitHub za pomocą jego API wyszukiwania kodu i repozytoriów (1 008 repozytoriów, 29 491 plików XML), sklasyfikowaliśmy każdy plik zawierający znacznik rekordu Verifactu przed jego lintowaniem i przeprowadziliśmy audyt korpusu za pomocą verifactu-lint 0.4.0, utrzymywanego przez autorów. Tylko 63 repozytoria stron trzecich publikują takie pliki XML i większość z nich nie jest przedstawiana jako prawidłowy rekord: 81 ze 191 unikatowych plików to szablony, głównie kopie przykładów z dokumentacji samej AEAT, w których pola hasha zawierają dosłownie Huella lub AAAA. Spośród 35 plików, które rzeczywiście mają być prawidłowymi rekordami, 10 (28,6%; 95% CI 16,3–45,1) zawiera co najmniej jeden ERROR; 6 z 19 repozytoriów (31,6%; 95% CI 15,4–54,0) publikuje co najmniej jeden taki plik. Najczęstszą wadą, występującą w 5 z 19 repozytoriów, jest zadeklarowany hash niezgodny z hashem obliczonym z pól rekordu. Wszystkie 22 ustalenia ERROR zostały przejrzane jedno po drugim przez opartego na LLM agenta badania, a hashe przeliczono niezależną implementacją: nie znaleziono żadnego wyniku fałszywie dodatniego (0/22; ustalenia nie są niezależne, a dla 12 odrębnych sytuacji repozytorium–reguła górna 95-procentowa granica wynosi 24,3%). 34 z 35 plików zawierają pojedynczy rekord, więc publiczne przykłady XML nie mogą służyć jako wzorzec łańcucha hashy, a poza własnym repozytorium instrumentu nikt nie publikuje celowo nieprawidłowego rekordu.