Sovellusturvallisuusinsinööri

AlphaSense investoi sovellusturvallisuuskysymysten seuraavaan sukupolveen: jatkuvaan, tekoälyavusteiseen ja kerrokselliseen puolustusohjelmaan, joka on rakennettu SaaS-ohjelmistojärjestölle, jossa tekoälyagentit ja ihmiskehittäjät julkaisevat koodia rinnakkain suurella nopeudella. Senior AI Application Security Engineerinä toimit senioritason yksilösuorittajana tämän ohjelman keskiössä. Olet vastuussa koodin ja pull-request-valvontakerroksesta, jonka kautta kaikki muutokset kulkevat, olivatpa ne ihmisen tai tekoälykoodausagentin kirjoittamia. Määrittelet ja vahvistat deterministiset turvaportit, jotka tekevät tekoälyn kirjoittamasta koodista tarkastettavasti vastaavan ihmisen kirjoittamalle koodille. Teet yhteistyötä suoraan kehitystiimien kanssa, jotka julkaisevat tekoälypohjaisia ja agenttisia ominaisuuksia, mukaan lukien MCP-integraatiot, tekoälyavusteiset koodausapurit ja tutkimustyönkulkuihin upotetut tekoälyominaisuudet, jotta nämä ominaisuudet suunnitellaan, rakennetaan ja operoidaan turvallisesti alusta alkaen. Tämä on käytännönläheinen "build-it"-rooli. Et ole auditoija tai dashboardin omistaja. Etsimme tietoturvainsinööriä, joka kirjoittaa koodia, lukee pull-requesteja sujuvasti useilla kielillä, on itse julkaissut tai integroinut agenttisia ja MCP-järjestelmiä ja näkee sovellusturvallisuuden kumppanuutena kehityksen kanssa eikä vain valvontaporttina. Raportoit sovellusturvallisuuden johtajalle (Director of Application Security) tuoteturvallisuuden (Product Security) sisällä ja teet läheistä yhteistyötä laajempien tietoturva-, kehitys- ja GRC-tiimien kanssa. Tämä on perustavanlaatuinen rekrytointi, jossa on selkeä polku Staff- tai Tech Lead -tasoille tiimin kasvaessa. Mistä olet vastuussa Jatkuva koodin ja PR:n turvallisuus (ensisijainen vastuu) - Operoi ja hienosäädä jatkuvasti SAST-, SCA-, salaisuuksien tunnistus- ja SBOM-putkistoa. - Suunnittele, julkaise ja vahvista deterministiset turvaportit, jotka tekevät tekoälyn kirjoittamista PR:istä tarkastettavasti vastaavia ihmisen kirjoittamille. - Tarkasta ihmisten ja agenttien kirjoittamia PR:iä ja tunnista semanttiset rikkomukset, jotka staattinen analyysi ohittaa. Toimita yhdessä tekoälyllä luotuja korjausehdotuksia, jotta ihmisen panos skaalautuu tarkastelu- ja yhdistämiseen, ei kirjoittamiseen. - Vie löydökset loppuun luokkatasolla: korjaa token-käsittelyvirhe kerran alustatasolla ja seuraa sen leviämistä. Agenttinen ja tekoälyturvallisuus - Vastaa tekoälyavusteisen kehityksen suojaamisesta: Claude Code, Cursor, Copilot, MCP-palvelimet, agenttien kirjoittamat PR:t, aliatagentit, jotka hoitavat rebases- ja CI-korjauksia. - Laadi ja rolloutaa tekoälyavusteisen kehityksen turvapolicy: prompt-injektioiden torjunta, MCP-laajuuden ja tunnusten hallinta, agenttien tunnusten perintä, salaisuuksien vuotaminen agenttilokeihin, agenttien toiminnan auditointi. - Tee yhteistyötä harness-kehityksen kanssa agenttien laajuusdeklaratioiden, agenttien identiteettirekisteröinnin ja verifiointikoukujen kanssa, jotka erottavat agentin aloittamat toiminnot ihmisen aloittamista auditointivirrassa. - Tee uhkamallinnusta uusille tekoälyominaisuuksille, agenttigatewaylle, MCP-liitännän arkkitehtuurille, tutkimusalustan tekoälytyönkuluille ja julkaise kontrollit. Uhkamallinnus ja kehittäjien tukeminen - Skaalaa uhkamallinnuskehys. Kokeile sitä korkeimman riskin tiimien kanssa ja tee siitä sitten standardi uusille ominaisuuksille ja arkkitehtuurimuutoksille. - Tee yhteistyötä tuoteturvallisuustiimin kanssa rakentaaksesi tietoturvakoulutusohjelman, jota insinöörit todella käyttävät: turvalliset koodauskuviot, autentikoinnin ja valtuutuksen perusteet, tietoisuus prompt-injektioista, miten ottaa tuoteturvallisuus mukaan suunnitteluun. - Upota testattavat tietoturvan hyväksymiskriteerit, agenttien laajuusdeklaratiot ja verifiointikoukut PRD-malliin, jotta palvelut ilmoittavat tietoturva-asentonsa suunnitteluvaiheessa. Kerroksellinen turvallisuus - Jatkuva tietoturvatestaus on viisikerroksinen malli: Koodi (sinun), Infrastruktuuri ja sopimus, käyttäytymisäly, vastakkainasettelusimulaatio ja datasegmentointi. Et operoi kaikkia viittä, mutta teet tiivistä yhteistyötä niiden kanssa, jotka tekevät, ja varmistat, että Layer 1 -signaalisi on kulutettavissa kerroksille 2-5 ja GRC:lle vaatimustenmukaisuuden todisteena. Detektoinnista vasteeseen -nopeus - Pidä kriittisten löydösten MTTR alle 24 tunnissa, löydösten tarkkuus yli 95 %:ssa ja toistuvien nimettyjen luokkien trendi nollaan kvartaali kvartaalilta. - Tue DAST-käyttöönottoa, API-pen-testiohjelmaa ja asiakaspuoleista tietoturva-asennon dashboardia. - Koordinoi penetraatiotestaus, bug bounty -keruu ja kumppanien uhkatietovirtaukset, kääntäen ulkoiset hyökkäyskuviot detektioiksi päivissä, ei kvartaaleissa. - Toimi ensisijaisena teknisenä vastaajana sovellustason väyhyissä, agenttien käyttäytymisanomalioissa tai kolmannen osapuolen integraatiokompromisseissa; johda forensista tutkintaa, arkkitehtuurista rajoittamista ja väyhyksen jälkeisiä kovennusvaatimuksia. Mitä tuot mukanasi Pakolliset - 6+ vuoden kokemus insinöörityöstä, josta 4+ vuotta dedikoidussa AI Application Security / Product Security -roolissa SaaS- tai pilvinatiivissä yrityksessä. Ei konsultointi- / auditointitaustaa. - Kehitystausta, käytännönläheinen ja tuore. Kirjoitat koodia, et vain tarkasta sitä. Luet PR:iä sujuvasti vähintään kahdella seuraavista: Python, TypeScript / JavaScript, Java / Kotlin tai Go, ja tunnet Terraform, Helm ja Kubernetes-manifestit. - Käytännön kokemus agenttisesta tekoälystä ja MCP-kehityksestä. Olet itse rakentanut, integroinut tai operoinut agenttityökaluja. Esimerkkejä: rakentanut MCP-palvelimen; integroinut Claude Code, Cursor tai Copilot todelliseen kehitystyönkulkuun hallinnan alaisena; työskennellyt autonomisten koodausagenttien tai harnessien kanssa; rakentanut tai vahvistanut agenttigatewayta; julkaissut suojakaiteita prompt-injektioille, jailbreak-vastustuskyvylle tai ulostulon sanitaatiolle tuotannossa. - SAST / SCA -putkiston operointi tuotannossa suuressa mittakaavassa, Snyk, Semgrep, GitHub Advanced Security, Checkmarx, Veracode tai vastaava, mukaan lukien sääntöjen kirjoittaminen, väärien positiivisten hienosäätö ja CI/CD-integraatio. - Osoitettu omistajuus uhkamallinnus- tai kehittäjien tietoturvakoulutusohjelmassa, perustajana tai merkittävänä vaikuttajana. Pystyt kuvailemaan artefaktit, integraation suunnitteluprosessiin ja mittarit, jotka todistivat sen toimivuuden. - Kerroksellinen turvallisuusajattelu. Defense-in-depth koodin, sopimuksen, käyttäytymisen, simulaation ja datan yli. Pystyt kertomaan, miten yhden kerroksen löydökset heijastuvat muihin ja miten suunnitella kumulatiivinen kontrolli redundantin kontrollin sijaan. - Vahva kirjallinen viestintä. Kirjoitat policyja, ohjeita, runbookeja ja PR-kommentteja, joita insinöörit lukevat ja joiden pohjalta he toimivat. Hyväksi katsottu - Open-source-panokset SAST / SCA -työkaluun, tietoturvalinteriin, MCP-palvelimeen tai -kehykseen, agenttiharnessiin tai uhkamallinnustyökaluun. - Kokemus deterministisen compliance-portin julkaisemisesta, jonka ulkoinen auditoija hyväksyi vastaavaksi ihmisen tekemään tarkastukseen. - API-turvallisuus ja DAST-kokemus (Burp Suite, ZAP, Akto) sekä moderni kontti- / Kubernetes-turvallisuus (admission controllers, runtime protection, supply chain attestation). - AWS-turvallisuuden syvällinen osaaminen (IAM, KMS, GuardDuty, Security Hub, Organizations) ja kokemus AI/ML-tuotantoympäristöistä. - Tietoturvikumppanina asiakaspuoleisessa posture-dashboardissa tai DDQ-vastausprosessissa, mieluiten säännellyllä toimialalla. - Julkinen kirjoittaminen tai puhuminen kehittäjien tietoturvasta, AI/agenttiturvallisuudesta tai AppSec-automaatiosta. - Pre-IPO-kokemus tai tuttuus SOC 2 Type II, ISO 27001:2022, ISO 42001, SOX, GDPR -standardeihin. - Sertifikaatit: OSWE, OSCP, CSSLP, AWS Security Specialty tai CISSP.