Описание
Вы будете выявлять реалистичные пути атак, создавать автоматизированные инструменты для тестирования и атак, работать напрямую с инженерными командами для устранения найденных проблем, а также помогать усиливать безопасность в области аутентификации, контроля доступа, интеграций, CI/CD и готовности к инцидентам.
Задачи
•Проектировать и проводить red team упражнения против функций на основе LLM, включая prompt injection, indirect prompt injection через письма и документы, abuse использования инструментов, эксфильтрацию данных и многошаговые цепочки атак.
•Создавать, настраивать, файнтюнить и эксплуатировать open-source модели для разработки автоматизированного тестирования безопасности и adversarial-инструментов.
•Проверять код приложений, выявлять уязвимости безопасности и реализовывать исправления в сотрудничестве с инженерами.
•Владеть и совершенствовать средства контроля безопасности для аутентификации, авторизации, разрешений, интеграций со сторонними сервисами и защиты данных клиентов.
•Усиливать организационную безопасность, включая управление идентификацией и доступом, безопасность endpoint-устройств, безопасность CI/CD и готовность к реагированию на инциденты.
•Проводить моделирование угроз и оценку рисков для новых функций, интеграций и AI-ориентированных рабочих процессов.
•Поддерживать проверки безопасности клиентов, опросники, аудиты и технические обсуждения, связанные с безопасностью продукта и данных.
•Отслеживать новые угрозы в области AI-безопасности, техники атак и защитные практики, переводя их в практические меры контроля и сценарии тестирования.
•Документировать находки понятно, приоритизировать устранение на основе риска и проверять эффективность исправлений.
Требования
•5+ лет опыта в offensive security, application security, security engineering или близкой области.
•Подтверждённый опыт атак или оценки систем на основе LLM, например исследования prompt injection, AI red teaming, инструменты безопасности, опубликованные write-up'ы, CVE, находки bug bounty или внутренняя работа с цепочками атак.
•Сильные навыки разработки программного обеспечения, включая умение понимать незнакомые кодовые базы, выявлять уязвимости и выпускать безопасные исправления.
•Практический опыт работы с open-source LLM, включая запуск, файнтюнинг или создание агентов и инструментов оценки.
•Твёрдое понимание основ веб- и API-безопасности, включая аутентификацию, авторизацию, инъекционные уязвимости, управление сессиями и контроль доступа.
•Практический опыт обеспечения безопасности облачных систем, рабочих процессов разработчиков, CI/CD пайплайнов и внутренней инфраструктуры.
•Способность работать как с безопасностью продукта, так и с организационной безопасностью, а не только в рамках одного приложения.
•Сильные аналитические навыки, интеллектуальная честность и коллаборативный стиль работы без эго.
•Свободный английский, письменный и устный.
Будет плюсом
•Публичные исследования безопасности, выступления на конференциях, CVE, достижения bug bounty или open-source инструменты безопасности.
•Опыт работы с agent frameworks, retrieval-augmented generation, tool calling или multi-agent системами.
•Опыт поддержки клиентов в регулируемых или чувствительных к безопасности отраслях.
•Знакомство с фреймворками и стандартами безопасности, такими как OWASP, NIST, ISO 27001 или SOC 2.
•Опыт purple teaming, detection engineering или incident response.
Условия
•Senior-роль с прямым влиянием на стратегию AI-безопасности, инженерные практики и организационную безопасность.
•Возможность работать над сложными задачами на стыке применённого AI, offensive security и продуктовой разработки.
•Коллаборативная среда, где находки по безопасности приводят к реальным инженерным улучшениям.
