Överensstämmelse hos Verifactu-implementeringar med öppen källkod

Spaniens Verifactu-system (RD 1007/2023, Orden HAC/1177/2024) kräver att faktureringsprogramvara genererar hashkedjade XML-poster. Vi sökte systematiskt igenom GitHub via dess sök-API:er för kod och repositorier (1 008 repositorier, 29 491 XML-filer), klassificerade varje fil som innehöll en Verifactu-postmarkör innan vi lintade den och granskade korpusen med verifactu-lint 0.4.0, som underhålls av författarna. Endast 63 repositorier från tredje part publicerar sådan XML, och det mesta av den gör inte anspråk på att vara en giltig post: 81 av 191 unika filer är mallar, mestadels kopior av exemplen i AEAT:s egen dokumentation, vars hashfält bokstavligen lyder Huella eller AAAA. Av de 35 filer som faktiskt utger sig för att vara giltiga poster innehåller 10 (28,6 %, 95 % KI 16,3–45,1) minst ett ERROR-fynd; 6 av 19 repositorier (31,6 %, 95 % KI 15,4–54,0) publicerar minst en sådan fil. Den vanligaste bristen, i 5 av de 19 repositorierna, är en angiven hash som inte stämmer med den som beräknas från postens fält. Alla 22 ERROR-fynd granskades ett och ett av den LLM-baserade studieagenten, med hashar omräknade av en oberoende implementering: ingen falsk positiv hittades (0/22; fynden är inte oberoende, och över de 12 distinkta situationerna av repositorium och regel är den övre 95 %-gränsen 24,3 %). 34 av de 35 filerna innehåller en enda post, så offentliga XML-exempel kan inte fungera som referens för hashkedjan, och utanför instrumentets eget repositorium publicerar ingen en avsiktligt ogiltig post.