資深應用程式安全工程師
透過強化應用程式安全、雲端防護和安全 AI 代理實務，保護 Nabla 的醫療 AI 平台與臨床資料。
說明
- 透過安全設計審查和功能威脅建模為產品團隊提供建議，涵蓋驗證、授權、權杖和工作階段方案。
- 保護 OAuth 用戶端、一次性代碼、多組織租戶、Core API 使用者端點，以及使用 postMessage 的嵌入式 SDK。
- 找出 BOLA、IDOR 和其他存取控制失效漏洞。
- 審查並排定 SAST、SCA、密鑰與基礎架構即程式碼掃描器，以及 AI 輔助程式碼審查結果的優先順序。
- 將安全發現指派給負責人並設定 SLA，同時減少相依性漏洞積壓。
- 適當時直接實作安全修正。
- 保護 AI 和 LLM 功能及內部代理，避免提示注入、工具或權限存取過度、PHI 洩露、去識別化失效，以及模型或 API 資料外傳。
- 規劃並執行涵蓋 Web、行動裝置和後台系統的滲透測試。
- 驗證修正結果並管理漏洞揭露計畫。
- 推出漏洞獎勵計畫。
- 建立預設安全控制措施，包括程式撰寫指引、強化過的程式庫與模式，以及提交前和提取要求檢查。
職位要求
- 具備 5–8 年以上安全工程經驗，其中包括 2–3 年以上應用程式安全或產品安全經驗；或具備軟體工程經驗並以安全為核心專長。
- 深入了解現代 Web 和 API 安全，包括 OAuth 2.0/OIDC、工作階段與權杖設計、多租戶、OWASP Top 10 和 API Top 10。
- 能透過檢視程式碼識別存取控制缺陷。
- 能撰寫並審查正式環境程式碼，主要使用 Kotlin 和 Python，並能跨 Web、行動裝置和桌面用戶端工作。
- 能使用 Python 自動化工作。
- 具備主導威脅建模和安全設計審查的經驗。
- 具備在 CI 中操作 SAST、SCA 和密鑰掃描的經驗，並能有效分流處理發現項目。
- 能靈活處理 API 設計審查、軟體供應鏈強化和安全事件。
- 能有效溝通，並與工程、法遵和 IT 團隊協作。
- 法語和英語的口說與書寫能力均達完全專業熟練程度。
福利待遇
- 混合辦公，可在巴黎辦公室工作，也可選擇在法國境內遠端工作。
- 每週至少三次可在工作日安排運動，選項包括瑜伽、跑步、皮拉提斯或高強度間歇訓練。
- 定期舉辦團隊離場活動。
- 有機會拜訪紐約、巴黎和舊金山等城市的同事。
- 包容且多元的工作環境。
- 可選擇不錄製面試，且不會影響應徵資格。