Offensive AI Security Engineer

Привет, мы The Browser Company 👋 и мы создаём лучший способ использования интернета.

Браузеры уникальны тем, что это один из немногих видов программного обеспечения, которым вы делитесь как с родителями, так и с детьми. Это имеет смысл, ведь это наш вход в самые важные вещи — через них мы общаемся с близкими, работаем над любимыми проектами и исследуем наше любопытство. Но сами по себе они не делают многого, они просто есть. Они не помогают нам организовать нашу беспорядочную жизнь и не облегчают формулирование наших идей. Мы верим, что браузер может делать гораздо больше — он может расширить наши возможности и поддержать удивительные вещи, которые мы делаем в интернете. Именно поэтому мы создаём его: браузер, который поможет нам расти, творить и оставаться любопытными.

Для выполнения этой грандиозной задачи мы собираем разнообразную команду людей с разным опытом и знаниями. Это не опция, это критически важно для нашей миссии, так как нам нужен широкий спектр точек зрения, чтобы бросить вызов нашим предположениям и сформировать наш браузер через смелый, творческий взгляд. Имея это в виду, мы особенно поощряем подавать заявки женщин, цветных людей и представителей других исторически маргинализированных групп.

О РОЛИ

Dia — это браузер с расширенными возможностями агента. Агент обрабатывает недоверенный контент из открытого интернета и предпринимает реальные действия от имени пользователя внутри клиента, который находится рядом со всем, в чем пользователь авторизован. Это сочетание создаёт модель угроз, у которой в основном нет аналогов — интересных ошибок нет в списке, а инструментов для их поиска пока в основном не существует.

В качестве Staff Security Researcher в нашей команде безопасности вы будете проводить оригинальные наступательные исследования Dia, включая клиент, среду выполнения агента, вызываемые им инструменты и интеграции, а также связанные с ними сервисы. Вы будете работать на опережение продукта, моделируя новые поверхности угроз вместе с командами, которые их разрабатывают, и просматривая функции перед тем, как они попадут к пользователям.

Вы также будете устранять классы ошибок, создавая моделируемое сканирование, фаззинг и системы активного поиска, которые непрерывно работают против нашего кода, нашей инфраструктуры и нашего агента.

Вы будете тесно сотрудничать с инженерами, которые отвечают за исправление, а не сами исправлять ошибки. Вы будете подчиняться главе отдела безопасности и работать с командами, занимающимися разработкой клиента, инфраструктуры и продукта.

В ЦЕЛОМ ВЫ БУДЕТЕ...

• Проводить оригинальные наступательные исследования Dia, его агента и бэкэнд-сервисов, уделяя особое внимание инъекциям в подсказки (prompt injection) и косвенной эксфильтрации данных, злоупотреблению вызовами инструментов, обходу разрешений и источника данных, побегу из песочницы, доступу к данным между профилями, обходу квот и систем оценки злоупотреблений.

• Моделировать новые поверхности угроз вместе с командами, которые их разрабатывают, и просматривать функции перед их выпуском, определяя, что является уязвимым, сколько это стоит атакующему и что должно произойти для запуска.

• Разрабатывать и создавать автоматизированное обнаружение уязвимостей, включая моделируемое сканирование кода и инфраструктуры, наборы для фаззинга и конвейеры активного поиска, которые продолжают работать после завершения проверки.

• Устранять целые классы ошибок в сотрудничестве с инженерами, которые отвечают за исправление, а затем делать ту же проблему структурно трудноповторяемой через принудительный инвариант, политику закрытого по умолчанию, тест, линт или изменение платформы.

• Устанавливать стандарты того, что означает "протестировано на безопасность" перед выпуском функции, и повышать планку того, что может найти вся команда.

ТЕХНИЧЕСКИЕ ПРОЕКТЫ, КОТОРЫЕ ВЫ БУДЕТЕ ФОРМИРОВАТЬ С НАМИ...

• Непрерывное обнаружение уязвимостей с помощью ИИ (первый проект). Вы оцените коммерческие сервисы сканирования, передовые модели, модели безопасности с открытым исходным кодом и создадите работающий микс для нашей кодовой базы, нашей инфраструктуры и среды выполнения агента.

• Red teaming агента. Планируйте и проводите регулярные упражнения red team с использованием ИИ против Dia и нашей инфраструктуры, а также создавайте корпус атак и наборы для их проведения, которые делают каждый раунд дешевле предыдущего.

• Практика предрелизного обзора. Новые инструменты и интеграции, возможности агента, корпоративные элементы управления, расширение платформы. Улучшенная платформа для помощи в тестировании.

• Структурные исправления, устраняющие классы уязвимостей. Определите вместе с продуктовыми инженерами изменения, которые полностью устраняют класс ошибок, вместо того чтобы исправлять одну и ту же проблему по одному отчету.

• Будущие инструменты и системы. Современное состояние в области поиска уязвимостей развивается быстрее, чем когда-либо прежде. Мы ожидаем, что этот человек будет отслеживать это и поддерживать BCNY на высшем уровне, что означает возможности для создания гораздо более широкого спектра, чем описано выше.

КВАЛИФИКАЦИЯ

• 8+ лет в области наступательной безопасности — исследования уязвимостей, разработка эксплойтов, red teaming или тестирование безопасности продукта — с опытом нахождения реальных ошибок в программном обеспечении, которое уже было проверено другими.

• Глубокие знания как минимум в одной сложной области: системы LLM-агентов, внутреннее устройство браузера или Chromium, песочницы ОС и нативные клиенты, или бэкэнд и облачная инфраструктура — и желание изучить остальное.

• Практическое владение LLM в качестве инструментов, а не только целей, плюс понимание того, когда их вывод является шумом.

• Вы пишете производственный код на одном или нескольких языках: Go, TypeScript, Python или Swift. Вы бы предпочли построить то, что находит ошибку тысячу раз, чем найти её один раз.

• Вы пишете отчеты, на которые реагируют инженеры, и можете оставаться в процессе исправления и добиваться долговечного решения, не беря на себя ответственность за исправление.

• Вы преуспеваете в среде с высоким уровнем доверия и неопределенности: вы ищете обратную связь, но не нуждаетесь в чрезмерной опеке.

• Вы разделяете наши корпоративные ценности.

• Мы в основном ориентируемся на найм сотрудников в часовых поясах Северной Америки и требуем, чтобы сотрудники имели 4+ часа перекрытия с членами команды в Восточном часовом поясе.

КОМПЕНСАЦИЯ И ЛЬГОТЫ

• Наша общая компенсация для штатных сотрудников включает базовую зарплату, акции и комплексные льготы. Годовой диапазон базовой зарплаты для этой должности составляет $225 000–$300 000 USD. Окончательное предложение будет зависеть от вашего опыта, знаний и результатов собеседования. Наша цель проста: если это взаимовыгодное решение, компенсация не должна быть препятствием. Мы собрали небольшую, но высококлассную команду, которая глубоко заботится о своём ремесле, и мы платим конкурентоспособно в соответствии с текущими рыночными ориентирами.

• Льготы. Мы предлагаем лучшие в своем классе льготы, разработанные для поддержки вас, вашей семьи и вашей жизни вне работы. Представьте себе льготы крупной компании с влиянием, ответственностью и способами работы стартапа — так, чтобы у вас было пространство и поддержка для выполнения лучшей работы в вашей карьере.

• Местоположение. Мы — компания, дружелюбная к удаленной работе, и можем нанимать сотрудников в США или Канаде. Если вы живете в Нью-Йорке (или хотите посетить), вы можете работать из нашего офиса в Уильямсбурге.

The Browser Company — амбициозная команда из почти 100 человек (и она растет!), увлечённых созданием отличных продуктов. Мы — команда, ориентированная на удаленную работу, распределенная, с возможностью работать из офиса в Бруклине, Нью-Йорк. Мы решительно поддерживаем разнообразие и призываем к подаче заявок людей любого происхождения.

🚙 Чтобы узнать больше о наших ценностях как компании, ознакомьтесь с разделом "Notes on Roadtrips" в нашем блоге.