Детали

Грейд

Senior

Опыт работы

от 5 лет

Формат работы

Удалённо, Офис

Уровень английского

B2, выше среднего

Сопроводительное письмо к вакансии

Письмо на почту или сообщение рекрутеру в Telegram

О вакансии

CloudLinux — это глобальная компания с полностью удаленным форматом работы. Нами руководят наши принципы: поступать правильно, ставить сотрудников на первое место, мы работаем удаленно, и мы поставляем недорогие инфраструктурные и безопасные продукты на базе Linux для больших объемов, которые помогают компаниям повышать эффективность своей деятельности. Каждый человек в нашей команде поддерживает друг друга и делает все возможное, чтобы обеспечить наш общий успех. Больше информации вы найдете на нашем сайте.

Imunify360 — это пакет безопасности CloudLinux для веб-серверов Linux: сканирование вредоносного ПО в реальном времени и в фоновом режиме, автоматическое удаление, WAF, защита PHP в режиме реального времени (Proactive Defense), сканер вредоносного ПО для баз данных и репутация IP-адресов. Он работает на общих, VPS и выделенных серверах хостинг-провайдеров, поэтому новые веб-кампании с вредоносным ПО попадают к нам рано.

Мы располагаем одним из крупнейших в индустрии корпусов помеченных данных о вредоносном ПО для веб-серверов: файлы, вердикты, результаты удаления и решения аналитиков, собранные с производственных серверов хостинга каждый день. Это уже лежит в основе наших сигнатур, эвристик и ML-моделей, и мы можем извлечь из этого гораздо больше. Мы ищем Старшего ML-инженера, который превратит эти данные в детектирование, которое будет выпущено — классификаторы, триаж с помощью LLM и сгенерированные сигнатуры — и продолжит исследовать новые методы ML/LLM для борьбы с ним, измеряя это по частоте ложноотрицательных и ложноположительных срабатываний продукта, а не по точности в блокноте.

Наш набор данных фокусируется на веб-вредоносном ПО — PHP, JavaScript, фишинговые наборы JavaScript, зараженные плагины и темы WordPress и Joomla, инъекции в базы данных — с контекстом вокруг каждого файла.

Что вы будете использовать:

Образцы вредоносного ПО с производственных серверов с вердиктами и решениями аналитиков
Многолетние сигнатуры и правила детектирования
Сообщения клиентов о ложноотрицательных и ложноположительных срабатываниях
Поведение кода в реальном времени на живых сайтах
Трафик веб-атак
Метаданные файлов и способы распространения файлов по серверам
Результаты очистки, включая то, что вернулось

Задачи

Цель — увеличить обнаружение вредоносного ПО в 10 раз при том же или более низком уровне ложноположительных срабатываний. Рукописные правила и более быстрые конвейеры не достигнут этого; модели, обученные на наших данных, могут.

Определять, какие файлы на сервере заслуживают более пристального внимания, в рамках жестких ограничений по ЦП и памяти
Отличать вредоносный код от безопасного в масштабах всего парка машин и при разумной стоимости одного файла
Автоматически генерировать сигнатуры детектирования на основе новых кампаний
Выявлять вредоносное ПО, которое выглядит вредоносным только в контексте, например, фишинговые страницы и инъекции скриптов
Направлять каждый файл в соответствующий механизм детектирования
Обеспечивать точную очистку, чтобы сайты оставались чистыми после этого
Доказывать, что каждая модель улучшает детектирование перед ее выпуском

Вы будете отвечать за весь путь от сырых образцов до модели в продакшене и за цифры, подтверждающие ее эффективность.

Первый месяц: первая модель, обученная на производственных данных и измеренная по сравнению с сегодняшними механизмами — триаж подозрительных файлов или модель метаданных. Внедрена система оценки: разделение по времени и кампаниям, чтобы семейства не утекали, и набор для регрессии прошлых FP и FN
К 3-му месяцу: несколько моделей в продакшене: некоторые в теневом режиме, собирающие доказательства, некоторые в рабочем режиме, производящие реальное детектирование, все с ограничениями набора регрессии прошлых ошибок. Система обучения, которая эффективно использует GPU. Письменное предложение (ADR) для каскада детектирования с указанием стоимости за файл и потребностей в оборудовании
К 12-му месяцу: модели являются основным источником новых обнаружений, о чем свидетельствует доля новых обнаружений и тенденция FN-rate. Повторное обучение на свежих метках аналитиков и FN по фиксированному графику. Сгенерированные сигнатуры внутри рабочего процесса аналитика. Два или три параллельных направления обучения, которые другие инженеры смогут запускать с помощью ваших инструментов

Требования

Что вы принесете:

Более 5 лет опыта создания ML-систем, работавших в продакшене, включая более 2 лет в области с высокой степенью противодействия: безопасность, злоупотребления, мошенничество или спам
Вы сами обучали и дообучали трансформерные модели — подготовка данных, токенизация кода, LoRA/QLoRA или полное дообучение, дистилляция, квантование — а не только вызывали размещенные API
Глубокие знания классического ML: градиентный бустинг, линейные модели на разреженных признаках, калибровка, дисбаланс классов и оценка того, когда они превосходят LLM
Дисциплина оценки: разделение без утечек по времени и семействам, точность при фиксированном бюджете ложноположительных срабатываний, наборы для регрессии и честный учет того, почему продакшен будет отличаться от офлайна
Инженерия стоимости инференса: вы измеряли пропускную способность и задержку и адаптировали модель к бюджету ЦП или памяти (ONNX, llama.cpp, vLLM, int8/int4)
Отличное знание Python, PyTorch и стека Hugging Face; SQL для работы с большими аналитическими таблицами (ClickHouse или аналоги)
Знакомство с PHP или JavaScript, или готовность освоить их, работая с нашими аналитиками вредоносного ПО
Вы ежедневно используете AI-кодирующих агентов и можете продемонстрировать, как
Английский язык на уровне Upper-Intermediate (B2) или выше, с особенно сильными письменными навыками для асинхронной работы

Будет большим плюсом, если у вас есть:

Опыт работы с веб-вредоносным ПО, веб-шеллами, фишинговыми наборами или безопасностью WordPress
Модели поверх кода: AST или признаки токенов, LLM для кода, графовые модели структуры программы
Кластеризация вредоносного ПО и анализ схожести
Многопроцессорное обучение на собственном bare metal; MLflow или Weights & Biases; версионирование наборов данных
Go или Rust для инференса на сервере
Опубликованные работы или выступления по ML для безопасности

Условия

Вы получаете трек для экспериментов, GPU и прямую связь с руководством; взамен вы предоставляете цифры, а не мнения
Полностью удаленная работа, асинхронная работа в диапазоне от UTC−5 до UTC+8. Решения записываются (ADR-Lite) и по умолчанию являются публичными
Оборудование следует за доказательствами: каждое направление обучения начинается с выделенных GPU на нашем собственном bare metal; руководство обязалось финансировать больше, когда это будет подтверждено данными
Агентная инженерия: Claude и Codex — стандартные инструменты, интегрированные с GitLab, Jenkins, Redash, Jira и Slite через серверы MCP. Мы смотрим на то, как инженеры работают с агентами — контекст, специфичность, качество обзора, — а не только на выходные данные
Близость к истине: вы ежедневно работаете с аналитиками вредоносного ПО, инженерами по детектированию и инфраструктуре, а также с остальной частью нашей ML-команды
Этапы выпуска: ни одна модель или сборка не выпускается, если она вызывает ложноположительные или ложноотрицательные срабатывания в наших наборах прошлых ошибок. Разборы без обвинений в течение 24 часов

Что мы предлагаем:

Фокус на профессиональном развитии
Интересные и сложные проекты
Полностью удаленная работа с гибким графиком, позволяющая вам планировать свой день и работать из любой точки мира
Оплачиваемый отпуск 24 дня в году, 10 дней национальных праздников и неограниченное количество больничных
Компенсация частного медицинского страхования
Компенсация коворкинга и абонементов в спортзал/на спортивные мероприятия
Бюджет на обучение
Возможность получить награду за самую инновационную идею, которую компания может запатентовать

CloudLinux is a global remote-first company. We are driven by our principles: do the right thing, employees first, we are remote first, and we deliver high-volume, low-cost Linux infrastructure and security products that help companies to increase the efficiency of their operations. Every person on our team supports each other and does what we can to ensure we all are successful. Check out our website for more information.

Imunify360 is CloudLinux's security suite for Linux web servers: real-time and background malware scanning, automated cleanup, a WAF, runtime PHP protection (Proactive Defense), a database malware scanner, and IP reputation. It runs on hosting providers' shared, VPS, and dedicated servers, so new web-malware campaigns land on our fleet early.

We sit on one of the largest labeled corpora of live web-server malware in the industry: files, verdicts, cleanup outcomes, and analyst decisions collected from production hosting servers every day. It already drives our signatures, heuristics, and ML models, and there is far more to get out of it. We are looking for a Senior ML Engineer who will turn that data into detection that ships — classifiers, LLM-assisted triage and generated signatures — and keep exploring new ML/LLM methods against it, measured by the product's false-negative and false-positive rates, not by notebook accuracy.

Our dataset focuses on web malware — PHP, JavaScript, HTML phishing kits, infected WordPress and Joomla plugins and themes, database injections — with the context around each file.

What you'll work with:

Malware samples from production servers, with verdicts and analyst decisions
Years of signatures and detection rules
Customer-reported false negatives and false positives
Runtime behavior of code on live sites
Web-attack traffic
File metadata and how files spread across servers
Cleanup outcomes, including what came back

What you will do: The goal is 10x more malware detected at the same or lower false-positive rate. Hand-written rules and faster pipelines will not get there; models trained on our data might.

Decide which files on a server deserve a closer look, within tight CPU and memory budgets
Tell malicious code from benign at fleet scale and a sensible cost per file
Generate detection signatures automatically from new campaigns
Catch malware that only looks malicious in context, such as phishing pages and script injections
Route each file to the right detection engine
Make cleanup precise so sites stay clean afterwards
Prove each model improves detection before it ships

How we work:

You get an experimentation track, GPUs, and a direct line to leadership; in return, you bring numbers, not opinions.
Remote-first, async across UTC−5 to UTC+8. Decisions are written down (ADR-Lite) and public by default.
Hardware follows evidence: Each training direction starts with dedicated GPUs on our own bare metal; leadership has committed to fund more when the case is made with data.
Agentic engineering: Claude and Codex are the default tools, wired to GitLab, Jenkins, Redash, Jira, and Slite through MCP servers. We look at how engineers work with agents — context, specificity, review quality — not only at output.
Close to ground truth: You work daily with malware analysts, detection and infrastructure engineers, and the rest of our ML team.
Ship gates: No model or build goes out if it raises false positives or false negatives on our past-error sets. Blameless post-mortems within 24 hours.

What you'll deliver: You own the path from raw samples to a model in production, and the numbers that prove it helped.

First month: A first model trained on production data and measured against today's engines — suspicious-file triage or a metadata model. The evaluation harness in place: splits by time and campaign so families don't leak, and a regression set from past FPs and FNs.
By month 3: Several models in production: some in shadow mode building evidence, some live and producing real detections, all gated on the past-error regression set. A training setup that keeps its GPUs busy. A written proposal (ADR) for the detection cascade, with cost per file and hardware needs.
By month 12: Models are a main source of new detections, reported as share of new detections and FN-rate trend. Retraining on fresh analyst and FN labels on a fixed cadence. Generated signatures inside the analyst workflow. Two or three parallel training directions that other engineers can run with your tooling.

Requirements

What you bring:

5+ years building ML systems that ran in production, including 2+ in an adversarial domain: security, abuse, fraud, or spam.
Y ou have trained and fine-tuned transformer models yourself — data preparation, tokenizing code, LoRA/QLoRA or full fine-tunes, distillation, quantization — not only called hosted APIs.
Classic ML depth: gradient boosting, linear models on sparse features, calibration, class imbalance, and judgement on when these beat an LLM.
Evaluation discipline: leakage-free splits by time and family, precision at a fixed false-positive budget, regression sets, and an honest account of why production will differ from offline.
Inference cost engineering: you have measured throughput and latency and made a model fit a CPU or memory budget (ONNX, llama.cpp, vLLM, int8/int4).
Strong Python, PyTorch and the Hugging Face stack; SQL on large analytical tables (ClickHouse or similar).
Familiarity with PHP or JavaScript, or willingness to pick it up working with our malware analysts.
You use AI coding agents daily and can show how.
English at upper-Intermediate (B2) level or higher, with particularly strong written communication for async work.

It is a strong plus if you have:

Web malware, webshells, phishing kits or WordPress security experience.
Models over code: AST or token features, code LLMs, graph models on program structure.
Malware clustering and similarity analysis.
Multi-GPU training on your own bare metal; MLflow or Weights & Biases; dataset versioning.
Go or Rust, for on-server inference.
Published work or talks on ML for security.

Benefits

What's in it for you?

A focus on professional development.
Interesting and challenging projects.
Fully remote work with flexible working hours, that allows you to schedule your day and work from any location worldwide.
Paid 24 days of vacation per year, 10 days of national holidays, and unlimited sick leaves.
Compensation for private medical insurance.
Co-working and gym/sports reimbursement.
Budget for education.
The opportunity to receive a reward for the most innovative idea that the company can patent.

By applying for this position, you consent to the processing of your personal data as described in our Privacy Policy, which provides detailed information on how we maintain and handle your data.

Подходит ли тебе эта вакансия?

Сравним навыки, грейд, формат работы и зарплату

Ключевые навыки

Machine Learning
PyTorch
Transformers
LoRA
QLoRA
Gradient Boosting
SQL
Python
Hugging Face
ClickHouse
ONNX
llama.cpp
vLLM
Multi-GPU training
MLflow
Weights & Biases
GitLab
Jenkins
Redash
Jira
Slite
PHP
JavaScript
Go
Rust
Malware Detection
Quantization
Knowledge Distillation
Model Calibration
Class Imbalance
Malware Clustering

Оценка зарплаты

26 000PLNв месяц

Чаще всего от 23 400 до 32 200