关于此职位
关于Turing
Turing总部位于加利福尼亚州旧金山，是全球领先的前沿AI实验室研究加速器，也是部署先进AI系统的全球企业的可信合作伙伴。Turing通过两种方式支持客户：第一，以高质量数据、先进训练流水线以及专注于编码、推理、STEM、多语言、多模态和智能体的顶尖AI研究人员加速前沿研究；第二，运用这些专业知识帮助企业将AI从概念验证转变为专有智能，其系统可靠运行、产生可衡量的影响，并在损益表上带来持久成果。
职位详情
- 所需投入：每天至少4小时，每周至少20小时，其中4小时需与太平洋时间重叠。
- 合作类型：承包商
- 合作时长：最长2周
关于该职位
我们正在寻找经验丰富的生成式AI安全工程师，为生成式AI应用创建和评估安全任务。
作为安全任务工程师，您将获取或构建生成式AI应用，创建存在漏洞的版本和已修补版本，记录安全发现，并为每种漏洞机制编写测试。在可能的情况下，您还将使用实时模型演示相关行为。
您将做什么
-
获取或构建生成式AI应用，包括智能体和RAG系统。
-
创建存在漏洞的版本及对应的已修补版本。
-
记录发现，包含确切的代码行范围、陷阱、控制状态和建议。
-
跨文件、回调、注册表和后台任务追踪数据和操作流；说明控制措施何时以及为何遗漏某条路径。
-
定义授权上下文，包括参与者、信任边界、租户、允许的数据和操作、目的、接收方以及文档级访问权限。
-
为每种机制编写漏洞利用和复现测试，证明存在漏洞版本中的弱点并确认补丁可防止该弱点。
-
在可能的情况下使用实时模型演示相关模型路径。
我们寻找的条件
-
3年以上应用或产品安全、安全代码审查、渗透测试或漏洞研究经验。
-
强大的数据流推理能力，能够跨文件、回调、注册表和后台任务追踪从源到汇的路径。
-
扎实的授权知识，包括身份验证、授权、最小权限、租户隔离、信任边界和审批流程。
-
了解面向LLM应用的OWASP Top 10，尤其是LLM02敏感信息泄露和LLM03过度代理。熟悉提示注入和工具滥用。
-
能够将发现映射到相关CWE，例如CWE-200/201对应暴露、CWE-532对应日志中的敏感数据、CWE-284/285/862/863对应访问控制、CWE-250/269对应过度权限。
-
具备编写漏洞利用和复现测试的经验，能够区分存在漏洞的行为和已修补的行为。
-
具备使用CodeQL或Semgrep、阅读SARIF以及理解基于模式的扫描器为何会遗漏逻辑和授权缺陷的经验。
-
具备LLM工具调用、智能体、MCP、RAG、记忆和追踪的实践经验，使用LangChain、LlamaIndex、OpenAI或Anthropic SDK以及OpenTelemetry等工具。
-
具备生产编码经验和工程基础，包括Docker、Git、阅读上游安全补丁和提交历史，以及清晰的技术英语。
加分项
-
SWE、OSCP、GWAPT、CSSLP或类似认证。
-
CVE署名、漏洞赏金经验或已发表的安全研究。
-
具备AI红队或LLM评估经验。