О компании
GitLab — интеллектуальная платформа оркестрации для DevSecOps. GitLab помогает организациям повышать продуктивность разработчиков, улучшать операционную эффективность, снижать риски в области безопасности и соответствия требованиям и ускорять цифровую трансформацию. Более 50 миллионов зарегистрированных пользователей и более 50% компаний из списка Fortune 100 доверяют GitLab выпуск более качественного и безопасного программного обеспечения быстрее.
Обзор этой роли
Будучи старшим backend-инженером в команде Security Factory: Code Security в GitLab, вы помогаете разработчикам находить и исправлять проблемы безопасности. Эти проблемы находятся в коде, который они пишут, и в компонентах с открытым исходным кодом, от которых они зависят.
Ваша работа охватывает взаимодополняющие части полного анализа безопасности. На стороне анализа зависимостей вы обучаете движок анализа тому, от чего зависит проект. Вы разбираете манифесты зависимостей, lock-файлы и SBOM, чтобы движок знал, какие библиотеки и фреймворки используются и как код с ними работает. Вы также расширяете сервис, который превращает рекомендации по безопасности в автоматизированные merge request'ы с обновлением уязвимых зависимостей. На стороне обнаружения уязвимостей вы развиваете движок анализа безопасности GitLab гибридными анализаторами, сочетающими rule-based обнаружение и рассуждения на основе ИИ. Вы создаёте и применяете инструменты для разработки, оценки и выпуска таких анализаторов и измеряете, насколько хорошо они находят реальные проблемы. Эта работа также расширяет покрытие библиотек, фреймворков и инструментов для ИИ-агентов, на которых строятся реальные приложения.
Эти направления усиливают друг друга. От чего зависит проект и как его код использует эти зависимости — части одной картины, и эта команда работает со всем этим целиком. Мы осмысленно используем инструменты разработки с поддержкой ИИ в ежедневной работе. Мы ожидаем, что вы будете применять их эффективно и с хорошим суждением.
Чем вы занимаетесь
•Выступаете непосредственно ответственным лицом (DRI) за инициативы команды от проектирования до поставки, выпуская решения с минимальным руководством в партнёрстве с техническим лидом
•Переводите системы, созданные одним инженером, в командное владение через документацию, тесты и совместное ревью
•Проектируете и выпускаете анализаторы, сочетающие детерминированные возможности анализа с анализом на основе ИИ, и создаёте оценочные стенды, измеряющие ложные срабатывания и пропущенные находки на бенчмарк-приложениях с известными уязвимостями, повышая планку того, что считается заслуживающим доверия результатом. Это включает правила обнаружения, сопоставленные с CWE, и тестовые фикстуры, доказывающие их работоспособность.
•Упаковываете эти анализаторы для всех мест, где GitLab их запускает, включая CI-задачи, рабочие процессы ИИ-агентов и инструменты командной строки, с отчётами о находках в стандартных форматах отчётов безопасности GitLab
•Проектируете и выпускаете разбор манифестов, lock-файлов и SBOM, который сообщает движку статического анализа, от чего зависит проект, и расширяете это на новые экосистемы и форматы
•Выпускаете функции в сервисе автоматизированного устранения, который превращает рекомендации по безопасности в merge request'ы на обновление зависимостей — от изолированных обновлений до создания merge request'ов
•Решаете технические задачи высокой масштабности и сложности, активно ищете сложные препятствия, затрагивающие всю команду, и отстаиваете улучшения качества, безопасности и производительности с Product Management, заинтересованными сторонами в инженерии, такими как Frontend и UX, и партнёрскими командами, например Code Scanning и Composition Analysis
•Наставляете инженеров уровня Intermediate через code review и парное программирование и поддерживаете внутренние стандарты стиля, сопровождаемости и лучших практик через ревью
•Участвуете в дежурствах on-call для помощи в устранении неполадок эксплуатации продукта, операций безопасности и срочных инженерных вопросов
Что вы приносите с собой
•Опыт создания собственных LLM-инструментов, таких как harness, pipeline агента или оценки, с суждением, позволяющим понимать, когда вывод заслуживает доверия, а когда нет
•Существенный профессиональный опыт написания и тестирования production-кода на системном языке, в частности Go и/или Rust, с глубокими знаниями как минимум в одном из них. Мы используем оба, плюс Ruby на стороне remediation и Python для некоторых анализаторов, и ценим готовность работать со всеми ними.
•Знакомство с менеджерами пакетов и управлением зависимостями в одной или нескольких языковых экосистемах, таких как npm, Maven, pip, Bundler или Cargo. Опыт создания инструментов вокруг них — ещё лучше.
•Подтверждённый опыт в области безопасности приложений, например исследование уязвимостей, безопасное ревью кода или написание правил обнаружения, и свободное владение классами уязвимостей (OWASP Top 10, CWE) и цепочкой поставок ПО
•Послужной список владения неоднозначными задачами и поставки с минимальным руководством, с самомотивацией и организационными навыками, подходящими для удалённой, в основном асинхронной среды
•Подтверждённая способность ясно и кратко излагать технические проблемы и писать проектные предложения, которые приводят команду к решению
Полезный опыт
•Опыт оценки обнаружения на основе ИИ на размеченных данных, включая измерение ложных срабатываний и пропущенных находок
•Опыт оптимизации производительности в масштабе
•Практический опыт программного анализа, например разбор, AST или анализ потока данных
•Знакомство с популярными веб- или мобильными фреймворками приложений и тем, как они обрабатывают ввод, данные и конфигурацию
•Опыт с контейнеризированными рабочими процессами и CI/CD (мы активно используем Docker)
О команде
Команда Security Factory: Code Security создаёт возможности сканирования безопасности на уровне кода в GitLab, охватывая статическое тестирование безопасности приложений и сканирование зависимостей. Мы помогаем разработчикам находить и исправлять проблемы безопасности как в написанном ими коде, так и в компонентах с открытым исходным кодом, от которых они зависят, как можно раньше.
Мы тесно работаем с командой Static Analysis над SAST-движками GitLab, с Composition Analysis по более широкой цепочке поставок ПО и с другими группами в Sec Section. Мы сильно опираемся на асинхронную работу в разных часовых поясах.
Диапазон зарплаты (только для резидентов США)
$139,200—$235,200 USD. Диапазон отражает базовую ставку заработной платы роли в локациях по всей территории США. Уровень грейда и диапазоны зарплаты определяются по результатам собеседований и оценки образования, опыта, знаний, навыков, способностей кандидата, справедливости по отношению к другим членам команды, соответствия рыночным данным и географическому расположению. Базовый диапазон зарплаты не включает бонусы, долю в капитале или льготы.
Как GitLab поддерживает штатных сотрудников
•Льготы для здоровья, финансов и благополучия
•Гибкий оплачиваемый отпуск
•Группы ресурсов для членов команды
•Компенсация долей в капитале и план выкупа акций сотрудниками
•Фонд роста и развития
•Отпуск по уходу за ребёнком
