Staff Engineer - Offensive Security

Присоединяйтесь к команде в качестве следующего Staff Offensive Security Engineer в Twilio.

Staff Engineer выступает в роли Technical Lead. Вы не просто находите баги; вы проектируете сложные цепочки атак, демонстрирующие системный риск. Вы тратите столько же времени на написание пользовательского кода и исследование новых обходов, сколько на проведение тестов.

• Full-Stack Penetration Testing: Выполнять ручное и автоматизированное тестирование веб‑приложений, API и мобильных приложений (iOS/Android).
• Internal/External Network Audits: Проводить аудиты сети и облака с использованием различных инструментов.
• Vulnerability Validation: Триажировать и подтверждать отчёты от автоматических сканеров или охотников за багами, устраняя ложные срабатывания и эскалируя истинные.
• AI/LLM Probing: Выполнять начальные тесты на внедрение запросов и обход ограничений в AI‑прототипах, сервисах и приложениях, используя утверждённые чек‑листы (OWASP Top 10 for LLMs).
• Technical Reporting: Составлять высококачественные отчёты, детализирующие "path to compromise" с чёткими, воспроизводимыми шагами для разработчиков.
• Tool Maintenance: Управлять и обновлять инфраструктуру тестирования команды (например, Burp Suite и базовые C2 listeners).
• Remediation Support: Предоставлять прямые технические рекомендации инженерным командам по исправлению уязвимостей, таких как XSS, SQLi и IDOR.
• Adversary Emulation: Проектировать и вести многонедельные операции Red Team, имитирующие конкретных угрозных акторов (APTs) для проверки возможностей обнаружения SIRT.
• Custom Exploit Development: Создавать пользовательские полезные нагрузки, дропперы и обфусцированные скрипты для обхода EDR/AV и поддержания скрытности.
• AI Red Teaming Architecture: Строить автоматизированные тестовые фреймворки для AI‑систем (например, с использованием PyRIT, Promptfoo или Garak) для проверки утечек чувствительных данных из моделей.
• Cloud & Infrastructure Attacks: Выполнять сложные атаки против AWS/Azure/K8s, сосредотачиваясь на ошибках конфигурации IAM и выходах из контейнеров.
• Purple Teaming: Сотрудничать с SIRT и Detection Engineering для настройки SIEM‑оповещений на основе техник, использованных в ходе задания.
• Strategic Bug Bounty Management: Руководить программой bug bounty организации, выявляя тенденции в заявках и предлагая широкие архитектурные изменения в области безопасности.

*Обязательно:

• Experience: 7-10 лет в offensive security, penetration testing, работе с большим объёмом bug bounty, AppSec или эксплуатации уязвимостей, а также подтверждённый опыт обнаружения высоких/критических уязвимостей в сложных средах с использованием коммерческих или кастомных pentesting‑инструментов.
• Concepts: Экспертные знания и твердое понимание матрицы MITRE ATT&CK и OWASP Top 10 для веб‑приложений и топ‑10 для LLM, пост‑эксплуатации (боковое перемещение, устойчивость, exfiltration данных) и Adversarial ML.
• Tooling: Владение популярными OffSec инструментами, такими как Burp Suite professional, Nmap, Metasploit, Wireshark и др., а также AI‑инструментами безопасности, например LangChain, TensorFlow для адверсариального тестирования, и использование C2‑фреймворков (Cobalt Strike, Sliver, Havoc) или аналогичных средств.
• Scripting and Coding: Умение писать функциональные скрипты на Python или Bash для автоматизации повторяющихся задач тестирования и навыки программирования и скриптинга, такие как Python, C++ и скрипты для создания пользовательских offensive‑эксплойтов, избегающих сигнатурного обнаружения.
• Certifications: Наличие продвинутых отраслевых сертификатов, таких как OSCP, OSEP, OSWE, GXPN или аналогичного обучения в OffSec‑треках, считается большим плюсом.
• Telecom expertise is preferred

Желательно:

• Отличные навыки письменного и устного общения.
• Способность влиять и строить эффективные рабочие отношения со всеми уровнями организации.
• Владение несколькими языками, применимыми к региону.
• Знание тактик локализации для обеспечения доступности и инклюзивности нашего контента в разных странах APJ.

Работа в Twilio предоставляет множество преимуществ, включая конкурентоспособную оплату, щедрый отпуск, обильный родительский и оздоровительный отпуск, медицинскую страховку, программу накоплений на пенсию и многое другое. Предложения различаются в зависимости от местоположения.

Оценочные диапазоны оплаты для этой роли следующие:

• Для сотрудников, работающих в Колорадо, Гавайях, Иллинойсе, Мэриленде, Массачусетсе, Миннесоте, Вермонте или Вашингтоне, округ Колумбия: $155,520.00 - $194,400.00.
• Для сотрудников, работающих в Нью‑Йорке, Нью‑Джерси, штате Вашингтон или Калифорнии (за пределами района залива Сан‑Франциско): $164,640.00 - $205,800.00.
• Для сотрудников, работающих в районе залива Сан‑Франциско, Калифорния: $182,960.00 - $228,700.00.

Эта роль может быть включена в план акций Twilio и корпоративный план бонусов. Все роли обычно имеют право на следующие льготы: медицинская страховка, пенсионный счёт 401(k), оплачиваемый больничный, оплачиваемый личный отпуск, оплачиваемый родительский отпуск.

Заявки на эту роль принимаются до 31st August 2026, но могут измениться в зависимости от потребностей бизнеса.

Twilio гордится тем, что является работодателем, предоставляющим равные возможности. Мы не дискриминируем по признаку расы, религии, цвета кожи, национального происхождения, пола (включая беременность, роды, решения о репродуктивном здоровье или связанные медицинские состояния), сексуальной ориентации, гендерной идентичности, гендерного выражения, возраста, статуса защищённого ветерана, статуса лица с инвалидностью, генетической информации, политических взглядов или активности, а также других законодательно защищённых характеристик.