Informazioni sul ruolo
Informazioni su Turing
Con sede a San Francisco, California, Turing è il principale acceleratore di ricerca al mondo per i laboratori di AI all'avanguardia e un partner affidabile per le imprese globali che implementano sistemi AI avanzati. Turing supporta i clienti in due modi: primo, accelerando la ricerca all'avanguardia con dati di alta qualità, pipeline di addestramento avanzate, oltre a ricercatori AI di primo livello specializzati in coding, reasoning, STEM, multilinguità, multimodalità e agenti; e secondo, applicando tale competenza per aiutare le imprese a trasformare l'AI da proof of concept in intelligenza proprietaria con sistemi che funzionano in modo affidabile, producono un impatto misurabile e generano risultati duraturi sul conto economico.
Dettagli dell'offerta
- Impegno richiesto: almeno 4 ore al giorno, minimo 20 ore a settimana, con 4 ore di sovrapposizione con il fuso orario del Pacifico.
- Tipo di incarico: Collaboratore esterno
- Durata dell'incarico: fino a 2 settimane
Informazioni sul ruolo
Siamo alla ricerca di ingegneri della sicurezza GenAI esperti per creare e valutare attività di sicurezza per applicazioni GenAI.
Come Ingegnere di attività di sicurezza, reperirai o costruirai applicazioni GenAI, creerai versioni vulnerabili e correttate, documenterai i risultati di sicurezza e scriverai test per ciascun meccanismo di vulnerabilità. Ove possibile, dimostrerai anche il comportamento rilevante utilizzando un modello live.
Cosa farai
-
Reperire o costruire applicazioni GenAI, inclusi sistemi agent e RAG.
-
Creare versioni vulnerabili e le corrispondenti versioni corrette.
-
Documentare i risultati con intervalli esatti di righe di codice, trappole, stato dei controlli e raccomandazioni.
-
Tracciare i flussi di dati e azioni attraverso file, callback, registri e job in background; spiegare quando e perché un controllo manca una route.
-
Definire i contesti di autorizzazione, inclusi attori, confini di fiducia, tenant, dati e azioni consentiti, scopi, destinatari e accesso a livello di documento.
-
Scrivere test di exploit e riproduzione per ciascun meccanismo che dimostrino la debolezza nella versione vulnerabile e confermino che la patch la previene.
-
Dimostrare il percorso del modello rilevante utilizzando un modello live quando possibile.
Cosa cerchiamo
-
3+ anni nella sicurezza delle applicazioni o di prodotto, revisione sicura del codice, penetration testing o ricerca sulle vulnerabilità.
-
Forte capacità di ragionamento sui flussi di dati e abilità di tracciare una sorgente fino a un sink attraverso file, callback, registri e job in background.
-
Forte conoscenza dell'autorizzazione, inclusi autenticazione, autorizzazione, privilegio minimo, isolamento dei tenant, confini di fiducia e flussi di approvazione.
-
Conoscenza dell'OWASP Top 10 per le applicazioni LLM, in particolare LLM02 Divulgazione di informazioni sensibili e LLM03 Agenzia eccessiva. Familiarità con il prompt injection e l'abuso di strumenti.
-
Capacità di mappare i risultati ai CWE rilevanti, come CWE-200/201 per l'esposizione, CWE-532 per i dati sensibili nei log, CWE-284/285/862/863 per il controllo degli accessi e CWE-250/269 per il privilegio eccessivo.
-
Esperienza nella scrittura di test di exploit e riproduzione che distinguano il comportamento vulnerabile dal comportamento corretto.
-
Esperienza con CodeQL o Semgrep, nella lettura di SARIF e nella comprensione del motivo per cui gli scanner basati su pattern possono mancare difetti di logica e autorizzazione.
-
Esperienza pratica con il tool calling degli LLM, agenti, MCP, RAG, memoria e tracing, utilizzando strumenti come LangChain, LlamaIndex, SDK di OpenAI o Anthropic e OpenTelemetry.
-
Esperienza di programmazione in produzione e fondamentali di ingegneria, inclusi Docker, Git, lettura di patch di sicurezza upstream e cronologia dei commit, e un inglese tecnico chiaro.
Requisiti preferenziali
-
SWE, OSCP, GWAPT, CSSLP o credenziali simili.
-
Crediti CVE, esperienza in bug bounty o ricerca sulla sicurezza pubblicata.
-
Esperienza con AI red teaming o valutazione di LLM.