# Inari Solutions — OSINT techniczno-biznesowy

**Stan źródeł:** 11 sierpnia 2026  
**Tryb:** paranoid — 11 finderów + 3 niezależne głosy weryfikujące  
**Zakres:** publiczne źródła, pasywny research; bez socjotechniki, logowania i testów ofensywnych

## Ocena w jednym akapicie

Inari Solutions to bardzo młoda, mała spółka z Warszawy, wpisana do KRS w kwietniu 2025 r. Publiczny ślad pokazuje zespół budowany wokół dwóch founderów i faktycznie działające wdrożenie CustPilot u Norlys. Technicznie firma korzysta z lekkich frontendów HTML/CSS/JavaScript, endpointów agentowych zdradzających Uvicorn/Python-ASGI oraz — w AIDEEU — jawnej konfiguracji usługi agentowej i samoatrybucji Azure AI Agent Service. Najmocniejszy dowód rynkowy to osadzenie po stronie klienta Norlys; najsłabsze elementy to nieudokumentowane KPI, brak publicznej listy innych klientów/kontraktów, nieweryfikowalny zewnętrznie status Microsoft Partner i niedostępna pełna lista pracowników.

## Najważniejsze ustalenia

| Obszar | Wniosek | Ocena |
|---|---|---|
| Podmiot | INARI SOLUTIONS sp. z o.o., KRS 0001168330; wpis 16.04.2025; kapitał 100 tys. PLN | **Potwierdzone** |
| Ludzie | Firma komunikuje dwóch founderów: „Emil” i „Piotrek”; pełnych tożsamości i całkowitego headcountu nie potwierdzono | **Potwierdzony zakres / luka** |
| Stack strony | Własny HTML/CSS/JS, LiteSpeed, formularz `.php`, DNS home.pl; polityka wskazuje SEOHOST | **Potwierdzone**, dokładna wersja PHP niepewna |
| Stack agentowy | Backendowe rooty ujawniają Uvicorn; to wspiera wniosek Python/ASGI. AIDEEU jawnie wskazuje API/agenta | **Mocna inferencja**, nie pełny diagram architektury |
| Projekt komercyjny | CustPilot jest osadzony u Norlys; loader klienta wskazuje PROD i 13 języków | **Potwierdzone** |
| Skala projektu | 24 kraje odpowiadają publicznej dystrybucji Norlys; 43 tys. produktów i 80+ atrybutów to dane dostawcy | **Mieszane** |
| Inne projekty | AIDEEU = publiczna beta/hackathon; Marketing Agent = showcase; Voice Agent i Operational Copilot = roadmapa | **Potwierdzone statusy publiczne** |
| Kontrakty | Brak trafień w sprawdzonym zakresie BZP/TED/Mapy Dotacji; nie oznacza braku umów prywatnych | **Niepewny wynik negatywny** |
| Microsoft | „Microsoft Partner” i osiem credential labels są samoatrybucją; brak zweryfikowanego profilu/ID | **Atrybucja** |
| KPI | 50%/10%/60%/90% bez metodologii; zakomentowane testimoniale nie są dowodem | **Niezweryfikowane marketingowo** |

## 1. Tożsamość prawna i oś czasu

Oficjalny odpis KRS potwierdza nazwę **INARI SOLUTIONS sp. z o.o.**, numer **KRS 0001168330**, wpis do rejestru **16 kwietnia 2025 r.** i kapitał zakładowy **100 000 PLN**. Umowa spółki pochodzi z 26 marca 2025 r. [KRS — odpis aktualny](https://api-krs.ms.gov.pl/api/krs/OdpisAktualny/0001168330?rejestr=P&format=json), [KRS — odpis pełny](https://api-krs.ms.gov.pl/api/krs/OdpisPelny/0001168330?rejestr=P&format=json).

Publiczny ślad marki zaczyna się wcześniej:

- **02.02.2025** — rejestracja domeny `inarisolutions.tech`; registrar Key-Systems, DNS home.pl. [RDAP](https://rdap.nic.tech/rdap/domain/inarisolutions.tech)
- **26.03.2025** — pierwotna umowa spółki. [KRS](https://api-krs.ms.gov.pl/api/krs/OdpisAktualny/0001168330?rejestr=P&format=json)
- **04.04.2025** — najstarszy odnaleziony snapshot witryny; ówczesny ślad Wix/Pepyaka. [Wayback CDX](https://web.archive.org/cdx/search/cdx?url=inarisolutions.tech/*&output=json&fl=timestamp,original,statuscode,digest,mimetype&filter=statuscode:200&collapse=digest), [snapshot](https://web.archive.org/web/20250404234951id_/https://www.inarisolutions.tech/)
- **16.04.2025** — wpis do KRS.
- **23.06.2026** — wpis dotyczący sprawozdania za 26.03–31.12.2025.
- **22.07.2026** — bieżąca strona i asset OG miały ten sam `Last-Modified`; to marker wydania strony, nie commit aplikacji.

Interpretacja: marka i strona były przygotowywane przed formalnym wpisem spółki. Nie jest to samo w sobie niczym nietypowym.

## 2. Ludzie

Strona firmy używa sformułowania „Two founders” i identyfikuje współzałożycieli jedynie jako **Emil** i **Piotrek**. KRS pokazuje obecnie dwóch równych udziałowców, ale dane nazwisk są w interfejsie zamaskowane, a udziałowiec nie musi być automatycznie founderem ani pracownikiem. [Strona firmy](https://inarisolutions.tech/), [KRS](https://api-krs.ms.gov.pl/api/krs/OdpisAktualny/0001168330?rejestr=P&format=json).

Nie publikuję dopasowanych „na oko” pełnych nazwisk. W szczególności:

- nie potwierdzono kompletnej listy pracowników;
- nie ustalono wiarygodnego całkowitego headcountu;
- nie potwierdzono publicznie doradców ani kontraktorów;
- negatywne wyniki LinkedIn/job boards nie dowodzą, że takich osób nie ma.

Wniosek: **publicznie widoczny rdzeń to dwóch founderów**, ale „dwóch founderów” nie oznacza automatycznie „firma ma tylko dwie osoby”.

## 3. Warstwa techniczna

### 3.1 Strona spółki

W świeżo obserwowanym materiale strona składa się z pierwszostronnego HTML, `styles.css` i `script.js`. Nie znaleziono sygnatur Reacta, Vue, Angulara ani popularnego CMS. Serwer odpowiada jako **LiteSpeed**, formularz wysyła JSON do `contact-form.php`, a DNS używa serwerów home.pl. Polityka prywatności wskazuje **SEOHOST sp. z o.o.** jako dostawcę hostingu/przetwarzającego. [HTML](https://inarisolutions.tech/), [JS](https://inarisolutions.tech/script.js), [CSS](https://inarisolutions.tech/styles.css), [endpoint](https://inarisolutions.tech/contact-form.php), [DNS](https://dns.google/resolve?name=inarisolutions.tech&type=NS).

Ostrożna rekonstrukcja:

```text
Przeglądarka
  ├─ statyczny HTML/CSS/vanilla JS
  ├─ Google reCAPTCHA v3
  ├─ GA4 + Microsoft Clarity po mechanizmie zgody
  └─ POST JSON → contact-form.php
                  └─ hosting SEOHOST / sieć Data Space / LiteSpeed
```

W jednym wcześniejszym odczycie endpoint ujawniał `PHP/8.3.31`, ale trzej verifierzy nie odtworzyli dokładnej wersji. Dlatego raport potwierdza **endpoint PHP**, nie konkretny numer runtime.

### 3.2 CustPilot i AIDEEU

Publiczne rooty `inari.custpilot.tech` i `aideeu.custpilot.tech` odpowiadały nagłówkiem **Uvicorn**. To jest mocny sygnał usług Python/ASGI, ale nie dowodzi FastAPI ani całego stosu backendowego. [CustPilot API root](https://inari.custpilot.tech/), [AIDEEU API root](https://aideeu.custpilot.tech/).

AIDEEU publikuje konfigurację po stronie klienta:

- API: `https://aideeu.custpilot.tech`;
- identyfikator agenta: `AIDEEU-CustPilot-STABLE-AIDEEU-MULTI-PROD`;
- endpointy obejmują wątki, wiadomości i strumieniowy `/run`;
- frontend ładuje **Marked** i **DOMPurify**;
- strona sama deklaruje „Powered by Azure AI Agent Service”.

Źródła: [config.js](https://aidataexplorer.eu/config.js), [app.js](https://aidataexplorer.eu/app.js), [AIDEEU](https://aidataexplorer.eu/).

Należy rozdzielić:

- **fakt:** jawna konfiguracja, endpointy i banner Uvicorn;
- **inferencja:** Python/ASGI i hostowanie w ekosystemie Azure;
- **atrybucja Inari:** Azure AI Agent Service / Foundry Agent Service;
- **niepotwierdzone:** dokładny model, warstwa wektorowa, baza danych, pipeline RAG, monitoring, tenancy i pełna topologia chmury.

### 3.3 Telemetria, prywatność i nagłówki

Strona zawiera GA4 (`G-JNTMXRLGHR`), Microsoft Clarity (`xipwkoid46`) oraz reCAPTCHA. Mechanizm zgody jest utrzymywany w `localStorage` jako `inari-cookie-consent`. reCAPTCHA jest obecna w początkowym HTML, a formularze pokazują linki do polityk Google; własna polityka Inari nie nazywa jednak reCAPTCHA wprost. Jest to **obserwacja przejrzystości**, nie rozstrzygnięcie prawne. [Strona](https://inarisolutions.tech/), [JS](https://inarisolutions.tech/script.js), [Google FAQ](https://developers.google.com/recaptcha/docs/faq#cookies).

W próbkowanych odpowiedziach z 11.08.2026 nie zaobserwowano CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy ani ochrony przed osadzaniem. To punktowy pasywny odczyt, **nie audyt bezpieczeństwa**.

## 4. Projekty i ich rzeczywisty status

### CustPilot × Norlys — wdrożenie produkcyjne

Najmocniejszy niezależny ślad znajduje się po stronie klienta. Norlys udostępnia przycisk rozmowy z doradcą AI i skrypt `custpilot.js`; loader oznacza środowisko jako `PROD`, mapuje 13 języków i wskazuje backend `norlys.custpilot.tech`. [Norlys](https://norlys.com/en/), [loader](https://norlys.com/js/custpilot.js).

Co można powiedzieć:

- istnieje integracja po stronie klienta;
- konfiguracja jest opisana jako produkcyjna;
- loader mapuje 13 języków;
- Norlys publikuje sieć dystrybucji w 24 krajach. [Dystrybucja](https://norlys.com/en/distributions)

Czego nie można potwierdzić publicznie:

- wartości i czasu trwania kontraktu;
- wolumenu rozmów i faktycznej adopcji;
- wpływu na konwersję, support, satysfakcję i ROI;
- 43 tys. produktów oraz 80+ atrybutów — te liczby pochodzą od Inari/CustPilot. [Case Inari](https://inarisolutions.tech/#success-stories), [case CustPilot](https://custpilot.tech/#case-study)

Uwaga weryfikacyjna: lokalny klient `curl` odrzucał niepełny łańcuch TLS Norlys. Nie omijano walidacji certyfikatu w finalnej weryfikacji; obserwację loadera oparto na odczytach finderów i głosie verifiera, który odtworzył artefakt.

### AIDEEU — beta/hackathon

AIDEEU to publiczna, limitowana beta/non-profit, przedstawiona jako projekt wywodzący się z Microsoft AI Dev Days Hackathon 2026. Jest działającym demonstratorem technicznym, lecz nie dowodem komercyjnego wdrożenia u klienta. [AIDEEU](https://aidataexplorer.eu/), [warunki](https://aidataexplorer.eu/#terms), [portfolio](https://inarisolutions.tech/products.html).

### Pozostałe pozycje

| Nazwa | Publiczny dowód | Ocena statusu |
|---|---|---|
| Inari Marketing Agent | lokalny materiał wideo w karuzeli | showcase/demo |
| Voice Agent | wzmianka, że ma „follow next” | roadmapa |
| Operational Copilot | wzmianka, że ma „follow next” | roadmapa |
| Agentic Operational Layer | opis pamięci, narzędzi, polityk i orkiestracji | oferta/architektura konsultingowa; brak nazwanego wdrożenia |
| Frontier Academy | oferta szkoleń Microsoft/Copilot/Foundry | oferta usługowa; brak publicznej listy klientów |

Źródła: [produkty](https://inarisolutions.tech/products.html), [Agentic Operational Layer](https://inarisolutions.tech/agentic-ops.html), [Academy](https://inarisolutions.tech/academy.html).

## 5. Kontrakty i klienci

**Jedyny nazwany klient znaleziony w publicznym śladzie to Norlys.** Nie oznacza to, że firma nie ma innych klientów objętych NDA lub niepublikowanych PoC.

Finder kontraktowy przeszukał oficjalne interfejsy dla nazwy, NIP-u i nazw produktów:

- BZP/e-Zamówienia: `INARI SOLUTIONS`, NIP `5253042830`, `CustPilot`, `AIDEEU` — brak trafień w użytych polach. [nazwa](https://ezamowienia.gov.pl/mo-board/api/v1/Board/Search?ContractorName=INARI%20SOLUTIONS), [NIP](https://ezamowienia.gov.pl/mo-board/api/v1/Board/Search?ContractorNationalId=5253042830)
- TED: zapytania pełnotekstowe po nazwie, NIP, KRS i produktach — puste listy; API wymagało zapytań POST, więc link prowadzi do [interfejsu API](https://api.ted.europa.eu/v3/notices/search) i [dokumentacji](https://docs.ted.europa.eu/api/latest/search.html).
- Mapa Dotacji: NIP `5253042830` — „Brak wyników wyszukiwania”. [Wynik](https://mapadotacji.gov.pl/projekty/?search-s=5253042830)

Trzej verifierzy zaklasyfikowali ten wniosek jako **niepewny wynik negatywny**, ponieważ nie odtworzyli w pełni wszystkich filtrów. Nie znaleziono jednak żadnego kontrdowodu w postaci publicznego awardu.

Poza zasięgiem: kontrakty prywatne, podwykonawstwo, faktury, umowy podprogowe, pilotaże/PoC, lokalne BIP-y i nieindeksowane załączniki.

## 6. Partnerstwa, certyfikaty i pozycjonowanie

Inari opisuje się jako „Microsoft Partner”/„Microsoft AI Cloud Partner” i pokazuje osiem etykiet certyfikacji: dwie Expert oraz sześć Associate. Badge prowadzi do ogólnej domeny Microsoft, a strona nie podaje nazw posiadaczy, identyfikatorów credentiali ani dat ważności. [Strona](https://inarisolutions.tech/), [kompetencje](https://inarisolutions.tech/#competencies).

Wniosek: potwierdzona jest **samoatrybucja**, nie niezależny poziom partnerstwa. Hackathon AIDEEU wspiera tezę o praktycznej aktywności w ekosystemie Microsoft, ale nie jest dowodem kontraktu, nagrody ani sponsoringu.

Rynkowo CustPilot mieści się w kategorii conversational product discovery/guided selling. Najbliższe kategorie porównawcze obejmują [Constructor AI Shopping Agent](https://constructor.com/solutions/ai-shopping-agent), [Bloomreach Discovery](https://www.bloomreach.com/en/products/discovery) i [Algolia AI Search](https://www.algolia.com/products/ai-search). Szersza propozycja Agentic Operational Layer konkuruje bardziej z platformami orkiestracji, np. [Microsoft Copilot Studio](https://learn.microsoft.com/en-us/microsoft-copilot-studio/fundamentals-what-is-copilot-studio) i [UiPath Agentic Automation](https://www.uipath.com/platform/agentic-automation).

Publicznie widoczna różnica Inari polega bardziej na **opakowaniu** — szkolenia + wdrożenia Microsoft + wertykalny doradca dla złożonych katalogów — niż na udokumentowanym unikalnym prymitywie technicznym.

## 7. Napięcia i ryzyka due diligence

1. **KPI bez metodologii.** CustPilot reklamuje 50% szybsze discovery, 10% wyższą konwersję, 60% mniej zapytań do supportu i 90% satysfakcji, ale bez próby, baseline'u, okresu i klienta. [Korzyści](https://custpilot.tech/#benefits)
2. **„No hallucinations” vs. warunki dema.** Marketing używa absolutnego języka, a warunki ostrzegają, że odpowiedzi AI mogą być niedokładne, niepełne lub nieaktualne. [CustPilot](https://custpilot.tech/)
3. **Testimoniale w komentarzu HTML.** Generyczne karty klientów są wyłączone i nie mogą być używane jako dowód.
4. **Prywatność reCAPTCHA.** Techniczna obecność jest jawna, lecz nazwa usługi nie występuje w własnej polityce Inari; formularz zawiera odsyłacze Google.
5. **Deklaracje compliance.** „GDPR and AI Act ready”, szyfrowanie, izolacja i „nothing leaks out” nie są poparte publicznym audytem, certyfikatem, DPA ani listą subprocesorów produktu.
6. **Znak `®`.** Stopka używa `Inari Solutions®`, lecz nie podaje numeru ani rejestru. Status nie został potwierdzony; nie wyciągamy wniosku, że rejestracji brak.

## 8. Paranoiczna weryfikacja

Każdy z 12 nośnych wniosków otrzymał trzy niezależne głosy. Reguła: co najmniej dwa merytoryczne głosy `refuted=true` obalają tezę.

- **Obalone przez ≥2 głosy:** 0
- **Potwierdzone lub nieobalone z mocnym źródłem:** podmiot, ostrożny opis ludzi, Norlys/24 kraje, samoatrybucja Microsoft, brak metodologii KPI, punktowa obserwacja nagłówków
- **Pozostawione jako niepewne:** dokładna wersja PHP; pełna architektura Azure/Foundry; kompletny zakres negatywnych wyników rejestrów; część obserwacji reCAPTCHA przy późniejszym 429

Pełna, maszynowo czytelna macierz znajduje się w [`claims.json`](claims.json).

## 9. Ograniczenia

- Strona Inari włączyła rate limiting (`429`, `Retry-After`), co ograniczyło część późniejszych odczytów.
- Norlys przedstawiał lokalnemu `curl` niepełny łańcuch certyfikatu; nie wyłączano walidacji TLS w finalnym procesie.
- LinkedIn blokował część stron logowaniem/HTTP 999.
- Nie uruchamiano rozmów z agentami, nie wysyłano formularzy i nie wykonywano testów transakcyjnych.
- Nie dokonano skanowania portów, fuzzingu, enumeracji zasobów ani prób obejścia zabezpieczeń.
- Brak danych prywatnych oznacza, że kontrakty prywatne, headcount i szczegóły architektury mogą być szersze niż publiczny obraz.

## Konkluzja

Inari nie jest wyłącznie marketingowym landing page'em: **CustPilot ma klientowski ślad produkcyjny u Norlys**, a AIDEEU ujawnia realny, działający frontend i API agentowe. Jednocześnie publiczna trakcja jest wąska: jeden nazwany klient, brak zweryfikowanych KPI, brak publicznych awardów w przeszukanym zakresie i brak niezależnie potwierdzonego profilu Microsoft Partner. Najbardziej wiarygodna teza brzmi: **młody, founder-led boutique budujący lekkie frontendy i usługi agentowe w ekosystemie Microsoft, z jednym publicznie potwierdzonym wdrożeniem i znaczną częścią szerszej oferty pozostającą na poziomie beta, showcase lub roadmapy.**