À propos du poste
À propos de Turing
Basée à San Francisco, en Californie, Turing est le principal accélérateur de recherche au monde pour les laboratoires d'IA de pointe et un partenaire de confiance pour les entreprises mondiales qui déploient des systèmes d'IA avancés. Turing accompagne ses clients de deux manières : premièrement, en accélérant la recherche de pointe grâce à des données de haute qualité, des pipelines d'entraînement avancés, ainsi que des chercheurs de premier plan en IA spécialisés dans la programmation, le raisonnement, les STEM, le multilingue, la multimodalité et les agents ; et deuxièmement, en appliquant cette expertise pour aider les entreprises à transformer l'IA du stade de preuve de concept en intelligence propriétaire, avec des systèmes qui fonctionnent de manière fiable, produisent un impact mesurable et génèrent des résultats durables sur le compte de résultat.
Détails de l'offre
- Engagement requis : au moins 4 heures par jour, minimum 20 heures par semaine, avec 4 heures de chevauchement avec l'heure du Pacifique.
- Type de mission : Prestataire
- Durée de la mission : jusqu'à 2 semaines
À propos du poste
Nous recherchons des ingénieurs expérimentés en sécurité GenAI pour créer et évaluer des tâches de sécurité destinées à des applications GenAI.
En tant qu'ingénieur en tâches de sécurité, vous sourcingez ou développez des applications GenAI, créez des versions vulnérables et corrigées, documentez les constats de sécurité et rédigez des tests pour chaque mécanisme de vulnérabilité. Lorsque cela est possible, vous démontrez également le comportement concerné à l'aide d'un modèle en direct.
Ce que vous ferez
-
Sourcer ou développer des applications GenAI, y compris des systèmes d'agents et RAG.
-
Créer des versions vulnérables et leurs contreparties corrigées.
-
Documenter les constats avec les plages de lignes de code exactes, les pièges, l'état des contrôles et les recommandations.
-
Tracer les flux de données et d'actions à travers les fichiers, callbacks, registres et tâches en arrière-plan ; expliquer quand et pourquoi un contrôle manque une route.
-
Définir les contextes d'autorisation, y compris les acteurs, les frontières de confiance, les locataires, les données et actions autorisées, les finalités, les destinataires et l'accès au niveau des documents.
-
Rédiger des tests d'exploitation et de reproduction par mécanisme qui démontrent la faiblesse dans la version vulnérable et confirment que le correctif la prévient.
-
Démontrer le chemin de modèle concerné à l'aide d'un modèle en direct lorsque cela est possible.
Ce que nous recherchons
-
3+ ans d'expérience en sécurité applicative ou produit, revue de code sécurisée, tests d'intrusion ou recherche de vulnérabilités.
-
Solide raisonnement sur les flux de données et capacité à tracer une source jusqu'à un puits à travers les fichiers, callbacks, registres et tâches en arrière-plan.
-
Solides connaissances en autorisation, y compris l'authentification, l'autorisation, le moindre privilège, l'isolation des locataires, les frontières de confiance et les flux d'approbation.
-
Connaissance du Top 10 OWASP pour les applications LLM, en particulier LLM02 Divulgation d'informations sensibles et LLM03 Agence excessive. Familiarité avec l'injection de prompt et l'abus d'outils.
-
Capacité à mapper les constats aux CWE pertinents, tels que CWE-200/201 pour l'exposition, CWE-532 pour les données sensibles dans les journaux, CWE-284/285/862/863 pour le contrôle d'accès et CWE-250/269 pour les privilèges excessifs.
-
Expérience dans la rédaction de tests d'exploitation et de reproduction qui distinguent le comportement vulnérable du comportement corrigé.
-
Expérience de l'utilisation de CodeQL ou Semgrep, de la lecture de SARIF et de la compréhension des raisons pour lesquelles les scanners basés sur des motifs peuvent manquer des failles de logique et d'autorisation.
-
Expérience pratique avec l'appel d'outils LLM, les agents, MCP, RAG, la mémoire et le traçage, à l'aide d'outils tels que LangChain, LlamaIndex, les SDK OpenAI ou Anthropic, et OpenTelemetry.
-
Expérience de codage en production et fondamentaux d'ingénierie, y compris Docker, Git, la lecture des correctifs de sécurité amont et de l'historique des commits, et un anglais technique clair.
Atouts appréciés
-
SWE, OSCP, GWAPT, CSSLP ou certifications similaires.
-
Crédits CVE, expérience en bug bounty ou recherche en sécurité publiée.
-
Expérience en red teaming IA ou en évaluation de LLM.