Старший инженер-программист, Security Factory: безопасность кода

GitLab — интеллектуальная платформа оркестрации для DevSecOps. GitLab помогает организациям повышать продуктивность разработчиков, улучшать операционную эффективность, снижать риски в области безопасности и соответствия требованиям и ускорять цифровую трансформацию. Более 50 миллионов зарегистрированных пользователей и более 50% компаний из списка Fortune 100* доверяют GitLab выпуск более качественного и безопасного программного обеспечения быстрее.

Те же принципы, заложенные в наши продукты, отражаются в том, как работает наша команда: мы рассматриваем ИИ как ключевой множитель продуктивности; от всех членов команды ожидается внедрение ИИ в ежедневные рабочие процессы для повышения эффективности, инноваций и влияния. GitLab — место, где карьера ускоряется, процветают инновации и ценится каждый голос. Наша высокоэффективная культура основана на наших ценностях и непрерывном обмене знаниями, что позволяет членам команды раскрывать свой потенциал, сотрудничая с лидерами отрасли в решении сложных задач. Создавайте будущее вместе с нами, пока мы строим технологии, которые меняют то, как мир разрабатывает программное обеспечение.

*Fortune 500® — зарегистрированная торговая марка Fortune Media IP Limited, используется по лицензии. Утверждение основано на данных GitLab. Fortune 100 относится к 20% компаний с наивысшим рейтингом в списке Fortune 500 за 2025 год, опубликованном в июне 2025 года. Fortune и Fortune Media IP Limited не связаны с GitLab и не одобряют её продукты или услуги.

Обзор этой роли

Будучи старшим backend-инженером в команде Security Factory: Code Security в GitLab, вы помогаете разработчикам находить и исправлять проблемы безопасности. Эти проблемы находятся в коде, который они пишут, и в компонентах с открытым исходным кодом, от которых они зависят.

Ваша работа охватывает взаимодополняющие части полного анализа безопасности. На стороне анализа зависимостей вы обучаете движок анализа тому, от чего зависит проект. Вы разбираете манифесты зависимостей, lock-файлы и SBOM, чтобы движок знал, какие библиотеки и фреймворки используются и как код с ними работает. Вы также расширяете сервис, который превращает рекомендации по безопасности в автоматизированные merge request'ы с обновлением уязвимых зависимостей. На стороне обнаружения уязвимостей вы развиваете движок анализа безопасности GitLab гибридными анализаторами, сочетающими rule-based обнаружение и рассуждения на основе ИИ. Вы создаёте и применяете инструменты для разработки, оценки и выпуска таких анализаторов и измеряете, насколько хорошо они находят реальные проблемы. Эта работа также расширяет покрытие библиотек, фреймворков и инструментов для ИИ-агентов, на которых строятся реальные приложения.

Эти направления усиливают друг друга. От чего зависит проект и как его код использует эти зависимости — части одной картины, и эта команда работает со всем этим целиком. Мы осмысленно используем инструменты разработки с поддержкой ИИ в ежедневной работе. Мы ожидаем, что вы будете применять их эффективно и с хорошим суждением.

Чем вы занимаетесь

• Выступаете непосредственно ответственным лицом (DRI) за инициативы команды от проектирования до поставки, выпуская решения с минимальным руководством в партнёрстве с техническим лидом
• Переводите системы, созданные одним инженером, в командное владение через документацию, тесты и совместное ревью
• Проектируете и выпускаете анализаторы, сочетающие детерминированные возможности анализа с анализом на основе ИИ, и создаёте оценочные стенды, измеряющие ложные срабатывания и пропущенные находки на бенчмарк-приложениях с известными уязвимостями, повышая планку того, что считается заслуживающим доверия результатом. Это включает правила обнаружения, сопоставленные с CWE, и тестовые фикстуры, доказывающие их работоспособность.
• Упаковываете эти анализаторы для всех мест, где GitLab их запускает, включая CI-задачи, рабочие процессы ИИ-агентов и инструменты командной строки, с отчётами о находках в стандартных форматах отчётов безопасности GitLab
• Проектируете и выпускаете разбор манифестов, lock-файлов и SBOM, который сообщает движку статического анализа, от чего зависит проект, и расширяете это на новые экосистемы и форматы
• Выпускаете функции в сервисе автоматизированного устранения, который превращает рекомендации по безопасности в merge request'ы на обновление зависимостей — от изолированных обновлений до создания merge request'ов
• Решаете технические задачи высокой масштабности и сложности, активно ищете сложные препятствия, затрагивающие всю команду, и отстаиваете улучшения качества, безопасности и производительности с Product Management, заинтересованными сторонами в инженерии, такими как Frontend и UX, и партнёрскими командами, например Code Scanning и Composition Analysis
• Наставляете инженеров уровня Intermediate через code review и парное программирование и поддерживаете внутренние стандарты стиля, сопровождаемости и лучших практик через ревью
• Участвуете в дежурствах on-call для помощи в устранении неполадок эксплуатации продукта, операций безопасности и срочных инженерных вопросов

Что вы приносите с собой

• Опыт создания собственных LLM-инструментов, таких как harness, pipeline агента или оценки, с суждением, позволяющим понимать, когда вывод заслуживает доверия, а когда нет
• Существенный профессиональный опыт написания и тестирования production-кода на системном языке, в частности Go и/или Rust, с глубокими знаниями как минимум в одном из них. Мы используем оба, плюс Ruby на стороне remediation и Python для некоторых анализаторов, и ценим готовность работать со всеми ними.
• Знакомство с менеджерами пакетов и управлением зависимостями в одной или нескольких языковых экосистемах, таких как npm, Maven, pip, Bundler или Cargo. Опыт создания инструментов вокруг них — ещё лучше.
• Подтверждённый опыт в области безопасности приложений, например исследование уязвимостей, безопасное ревью кода или написание правил обнаружения, и свободное владение классами уязвимостей (OWASP Top 10, CWE) и цепочкой поставок ПО
• Послужной список владения неоднозначными задачами и поставки с минимальным руководством, с самомотивацией и организационными навыками, подходящими для удалённой, в основном асинхронной среды
• Подтверждённая способность ясно и кратко излагать технические проблемы и писать проектные предложения, которые приводят команду к решению

Полезный опыт

• Опыт оценки обнаружения на основе ИИ на размеченных данных, включая измерение ложных срабатываний и пропущенных находок
• Опыт оптимизации производительности в масштабе
• Практический опыт программного анализа, например разбор, AST или анализ потока данных
• Знакомство с популярными веб- или мобильными фреймворками приложений и тем, как они обрабатывают ввод, данные и конфигурацию
• Опыт с контейнеризированными рабочими процессами и CI/CD (мы активно используем Docker)

О команде

Команда Security Factory: Code Security создаёт возможности сканирования безопасности на уровне кода в GitLab, охватывая статическое тестирование безопасности приложений и сканирование зависимостей. Мы помогаем разработчикам находить и исправлять проблемы безопасности как в написанном ими коде, так и в компонентах с открытым исходным кодом, от которых они зависят, как можно раньше.

Мы тесно работаем с командой Static Analysis над SAST-движками GitLab, с Composition Analysis по более широкой цепочке поставок ПО и с другими группами в Sec Section. Мы сильно опираемся на асинхронную работу в разных часовых поясах.

  Remote-Global

Диапазон базовой заработной платы для указанного уровня этой роли в настоящее время действует только для резидентов Соединённых Штатов. Этот диапазон отражает базовую ставку заработной платы роли в локациях по всей территории США. Уровень грейда и диапазоны зарплаты определяются по результатам собеседований и оценки образования, опыта, знаний, навыков, способностей кандидата, справедливости по отношению к другим членам команды, соответствия рыночным данным и географическому расположению. Базовый диапазон зарплаты не включает бонусы, долю в капитале или льготы. Подробнее о наших льготах и доле в капитале. Для ролей в продажах также предусмотрена стимулирующая выплата до 100% от предлагаемой базовой зарплаты.

Диапазон зарплаты в США$139,200—$235,200 USD

Как GitLab поддерживает штатных сотрудников

• Льготы для здоровья, финансов и благополучия
• Гибкий оплачиваемый отпуск 
• Группы ресурсов для членов команды
• Компенсация долей в капитале и план выкупа акций сотрудниками
• Фонд роста и развития
• Отпуск по уходу за ребёнком 

Обратите внимание: мы приветствуем интерес кандидатов с разным уровнем опыта; многие успешные кандидаты не соответствуют каждому отдельному требованию. Кроме того, исследования показывают, что представители недостаточно представленных групп реже откликаются на вакансию, если не соответствуют каждой отдельной квалификации. Если вас вдохновляет эта роль, подайте заявку и позвольте нашим рекрутерам оценить вашу кандидатуру.

Правила найма по странам: GitLab нанимает новых членов команды в странах по всему миру. Все наши роли удалённые, однако для некоторых ролей могут действовать особые требования к локации. Команда Talent Acquisition может ответить на вопросы о локации после начала процесса подбора.  

Политика конфиденциальности: Ознакомьтесь с нашей Политикой конфиденциальности при подборе персонала. Ваша конфиденциальность важна для нас.

GitLab гордится тем, что является работодателем с равными возможностями и придерживается политики позитивных действий (affirmative action). Политики и практики GitLab в области подбора, трудоустройства, развития карьеры и продвижения, повышения и выхода на пенсию основаны исключительно на заслугах, независимо от расы, цвета кожи, религии, происхождения, пола (включая беременность, лактацию, сексуальную ориентацию, гендерную идентичность или гендерное самовыражение), национального происхождения, возраста, гражданства, семейного положения, психических или физических ограничений, генетической информации (включая семейную медицинскую историю), статуса увольнения из вооружённых сил, защищённого статуса ветерана (включая инвалидов-ветеранов, недавно уволенных ветеранов, ветеранов с нагрудным знаком за службу в боевых действиях или кампаниях и ветеранов с медалью вооружённых сил) или любого другого основания, защищённого законом. GitLab не терпит дискриминации или домогательств по любому из этих признаков. См. также Политику равных возможностей трудоустройства GitLab и EEO is the Law. Если у вас есть инвалидность или особые потребности, требующие разумного приспособления, сообщите нам об этом в ходе процесса подбора.