Intermediate Backend Engineer - Code Security

В роли Intermediate Backend Engineer в команде GitLab Security Factory: Code Security вы будете помогать разработчикам находить и исправлять проблемы безопасности в коде, который они пишут, и в компонентах с открытым исходным кодом, от которых они зависят.

Ваша работа связывает анализ зависимостей, обнаружение уязвимостей и автоматизированное исправление. Вы будете создавать парсинг, который сообщает движку анализа безопасности, какие библиотеки и фреймворки использует проект, расширять сервис, превращающий бюллетени безопасности в merge request'ы с обновлением зависимостей, и разрабатывать гибридные анализаторы, сочетающие обнаружение на основе правил с рассуждениями искусственного интеллекта (ИИ). Вы поможете оценивать, насколько хорошо эти анализаторы находят реальные уязвимости, и расширять охват библиотек, фреймворков и инструментов для ИИ-агентов.

• Разрабатывать безопасный, хорошо протестированный и производительный парсинг манифестов зависимостей, lock-файлов и перечней компонентов программного обеспечения (SBOM). Расширять поддержку новых экосистем пакетов и форматов в движке анализа и сервисе исправления.

• Создавать и применять анализаторы, сочетающие детерминированный анализ с анализом на основе ИИ, работая совместно с техническим руководством команды. Проверять их результаты и измерять количество ложных срабатываний и пропущенных находок на эталонных приложениях с известными уязвимостями.

• Создавать правила обнаружения, сопоставленные с Common Weakness Enumeration (CWE), и тестовые фикстуры, подтверждающие их работоспособность.

• Участвовать в упаковке анализаторов для задач непрерывной интеграции (CI), рабочих процессов ИИ-агентов и инструментов командной строки, передавая результаты в стандартных форматах отчётов безопасности GitLab.

• Расширять сервис автоматизированного исправления: от запуска обновлений зависимостей в песочнице до создания merge request'ов.

• Решать технические задачи умеренного масштаба и сложности. Выявлять технический долг, замедляющий команду, а также предлагать и внедрять улучшения.

• Писать поддерживаемый код, соответствующий нашим внутренним стандартам, и помогать поддерживать эти стандарты через code review.

• Участвовать в дежурствах on-call для устранения неполадок в работе продукта, операциях безопасности и срочных инженерных проблем.

• Опыт использования инструментов ИИ или больших языковых моделей (LLM) для создания или оценки технического контента, а также умение понимать, когда результату можно доверять, а когда нет.

• Солидный профессиональный опыт написания и тестирования продакшн-кода на системном языке, в частности Go и/или Rust. Мы используем оба, а также Ruby для исправления и Python для некоторых анализаторов, и ценим готовность работать со всеми ими.

• Готовность изучать, как уязвимости возникают в коде и в цепочке поставок программного обеспечения, исследовать распространённые классы уязвимостей, такие как Open Worldwide Application Security Project (OWASP) Top 10 и CWE, и применять статический анализ для их обнаружения. Глубокая экспертиза не требуется, мы поможем вам её развить.

• Умение организовывать свою работу и самостоятельно доводить задачи до конца в удалённой, преимущественно асинхронной среде.

• Умение чётко и кратко рассказывать о технических проблемах и предлагать итеративные решения.

• Будет плюсом, но не обязательно: опыт работы с контейнеризированными рабочими процессами и непрерывной интеграцией и непрерывной доставкой (CI/CD) или готовность их изучить; менеджеры пакетов и инструменты для работы с зависимостями, такие как npm, Maven, pip, Bundler или Cargo; веб- или мобильные фреймворки; парсинг, абстрактные синтаксические деревья (AST), анализ программ или правила обнаружения; или оценка обнаружения на основе ИИ на размеченных данных. Мы активно используем Docker.

• Льготы для поддержки вашего здоровья, финансов и благополучия

• Гибкий оплачиваемый отпуск

• Группы ресурсов для сотрудников (Team Member Resource Groups)

• Долевая компенсация и План покупки акций сотрудниками (Equity Compensation & Employee Stock Purchase Plan)

• Фонд роста и развития

• Отпуск по уходу за ребёнком