Konformita open-source implementácií Verifactu

Španielsky režim Verifactu (RD 1007/2023, Orden HAC/1177/2024) vyžaduje, aby fakturačný softvér vytváral XML záznamy zreťazené pomocou hashov. Systematicky sme prehľadali GitHub prostredníctvom jeho API na vyhľadávanie kódu a repozitárov (1 008 repozitárov, 29 491 súborov XML), každý súbor obsahujúci značku záznamu Verifactu sme klasifikovali pred jeho lintovaním a korpus sme auditovali nástrojom verifactu-lint 0.4.0, ktorý udržiavajú autori. Takéto XML zverejňuje iba 63 repozitárov tretích strán a väčšina z neho sa za platný záznam nevydáva: 81 zo 191 jedinečných súborov sú šablóny, väčšinou kópie ukážok z vlastnej dokumentácie AEAT, ktorých polia hashu doslova obsahujú Huella alebo AAAA. Z 35 súborov, ktoré sa za platné záznamy skutočne vydávajú, 10 (28,6 %; 95% IS 16,3–45,1) obsahuje aspoň jeden ERROR; 6 z 19 repozitárov (31,6 %; 95% IS 15,4–54,0) zverejňuje aspoň jeden taký súbor. Najčastejším nedostatkom, v 5 z 19 repozitárov, je deklarovaný hash, ktorý nezodpovedá hashu vypočítanému z polí záznamu. Všetkých 22 zistení ERROR jednotlivo preskúmal agent štúdie založený na LLM, pričom hashe prepočítala nezávislá implementácia: nenašiel sa žiadny falošne pozitívny výsledok (0/22; zistenia nie sú nezávislé a pre 12 odlišných situácií repozitár–pravidlo je horná 95% hranica 24,3 %). 34 z 35 súborov obsahuje jediný záznam, takže verejné príklady XML nemôžu slúžiť ako referencia pre reťazec hashov, a mimo vlastného repozitára nástroja nikto nezverejňuje zámerne neplatný záznam.