高级应用安全工程师
通过强化应用安全、云防护措施和安全 AI 智能体实践，保护 Nabla 的医疗 AI 平台与临床数据。
描述
- 通过安全设计评审和功能威胁建模为产品团队提供建议，涵盖身份验证、授权、令牌和会话方案。
- 保护 OAuth 客户端、一次性代码、多组织租户、Core API 用户端点，以及使用 postMessage 的嵌入式 SDK。
- 发现 BOLA、IDOR 及其他访问控制失效漏洞。
- 审查并确定 SAST、SCA、密钥和基础设施即代码扫描器，以及 AI 辅助代码审查的结果优先级。
- 将安全发现分配给负责人并设定 SLA，同时减少依赖项漏洞积压。
- 在适当情况下直接实施安全修复。
- 保护 AI 和 LLM 功能及内部智能体，防范提示注入、工具或权限访问过度、PHI 暴露、去标识化失效，以及模型或 API 数据外传。
- 规划并开展覆盖 Web、移动端和后台系统的渗透测试。
- 验证修复情况并管理漏洞披露计划。
- 启动漏洞赏金计划。
- 建立默认安全控制措施，包括编码指南、加固后的库和模式，以及提交前和拉取请求检查。
任职要求
- 具备 5–8 年以上安全工程经验，其中包括 2–3 年以上应用安全或产品安全经验；或具备软件工程经验并专注于安全领域。
- 深入理解现代 Web 和 API 安全，包括 OAuth 2.0/OIDC、会话与令牌设计、多租户、OWASP Top 10 和 API Top 10。
- 能够通过检查代码识别访问控制缺陷。
- 能够编写和审查生产代码，主要使用 Kotlin 和 Python，并能跨 Web、移动端和桌面客户端开展工作。
- 能够使用 Python 自动化任务。
- 具备主导威胁建模和安全设计评审的经验。
- 具备在 CI 中运行 SAST、SCA 和密钥扫描的经验，并建立有效的发现项分级处理流程。
- 能够灵活处理 API 设计评审、软件供应链加固和安全事件。
- 能够有效沟通，并与工程、合规和 IT 团队协作。
- 法语和英语口语及书面表达均达到完全职业熟练程度。
福利待遇
- 混合办公，可在巴黎办公室工作，也可选择在法国境内远程办公。
- 每周至少三次可在工作日安排锻炼，形式包括瑜伽、跑步、普拉提或高强度间歇训练。
- 定期举办团队线下活动。
- 有机会拜访纽约、巴黎和旧金山等城市的同事。
- 包容、多元的工作环境。
- 可选择不录制面试，且不会影响候选资格。