格步
Security Engineer, Offensive Security
Security Engineer, Offensive Security
发布于 6 个月前普通员工/个人贡献者
Jakarta, Indonesia
中级经验
全职员工
仅现场办公
学历未注明
系统与安全工程
Web应用安全
渗透测试
漏洞管理
红队演练
AI/ML安全
Hackerone
OSCP
AI 估算 · 35k–55k
进攻性安全工程师需求旺盛，需掌握AI安全等前沿技能，在东南亚科技巨头工作，薪资具备竞争力。
职位详情
关于这个职位
这是一个专注于进攻性安全的工程师职位
你将负责对Grab及其合资项目（如Digibank）的系统进行架构审查、代码审计、渗透测试，并可能参与红队演练
工作重点包括漏洞管理、AI/ML应用安全、以及利用AI工具提升安全测试效率
这是一个在雅加达的现场岗位
最低要求
年以上安全行业经验，专注于Web/移动应用安全，了解威胁态势
体现公司的核心价值观（Heart, Hunger, Honour, Humility）
技术熟练度：* 对主要云平台（AWS, GCP, Alibaba, Azure）有工作知识，精通Web/移动渗透测试工具和流程，对纵深防御方法和安全最佳实践有基础理解
编码与自动化：* 至少能用一种语言（如Python, Java, GoLang, C++）进行编码/脚本编写，以开发技术解决方案、自动化安全测试和缓解漏洞
AI安全重点：* 理解AI/ML安全风险（如OWASP LLM Top 10、提示注入、模型漏洞），了解如何保护AI应用/API，并能熟练使用AI助手（ChatGPT/Claude）和基础提示工程进行安全分析
沟通与协作：* 能够指出技术解决方案，在团队间倡导网络安全，并为解决方案架构、测试计划和实施做出贡献
在漏洞管理、补丁自动化和VA/PT技术方面有经验
拥有网络安全认证，如OSCP、OSCE或CREST
工作职责
漏洞管理：* 推动识别和修复高优先级的Web/移动应用及环境安全问题，包括筛选、提供修复指导、验证修复措施，并评估漏洞或提议缓解措施的风险和影响
安全专业知识与支持：* 为其他网络安全团队提供应用安全专业知识，并协助网络事件响应团队进行调查
漏洞赏金参与：* 对通过Grab在HackerOne上的漏洞赏金计划报告的安全问题进行分类，并跟进开发团队进行修复
测试与审计：* 进行应用安全测试、源代码审计和针对关键数据、服务和环境的渗透测试
提供清晰的风险评估和修复指南
研究与文档：* 研究最新的网络安全方法、威胁和技术框架
记录并传播安全指南、修复指导和安全技术基线
工具开发与AI利用：* 开发工具、漏洞利用和AI增强的自动化脚本/智能安全测试框架，以支持应用安全审查和渗透测试
AI/ML安全：* 保护AI/ML应用和API免受新兴威胁（如提示注入、模型投毒、对抗性攻击），并使用AI驱动的工具/助手来增强漏洞检测、风险评估、测试效率、研究和威胁分析
AI 洞察
优缺点分析
优点
- 技术前沿：直接接触AI安全、云安全等热门领域，技能保值性和市场需求高
- 平台优势：在东南亚领先的超级应用平台工作，能接触到复杂、大规模的真实业务系统，项目经验含金量足
- 实战性强：工作以进攻性安全为主，通过渗透测试和红队演练积累的实战经验非常宝贵
- 现场办公：职位明确为现场角色，对追求完全远程办公的求职者可能不够灵活
- 适合对进攻性安全有强烈兴趣，具备扎实渗透测试和编程基础，并希望在前沿的AI安全领域深耕的技术型工程师
缺点 / 挑战
- 技术更新快：需要持续学习AI安全、新攻击手法和云技术，保持知识不掉队压力较大
- 责任与压力：作为安全防线，需要精准评估风险，漏报或误判可能带来实际业务影响，心理负担较重
角色解读
- 技术专家路径：可向高级安全研究员、AI安全专家或红队负责人发展，专注于前沿攻防技术
- 管理路径：积累项目协调和跨团队沟通经验后，可转向安全经理、安全架构师等管理或设计岗位
- 核心工作是主动发现和修复安全漏洞，包括对Web/移动应用、云环境和AI系统进行渗透测试和代码审计
- 负责管理漏洞生命周期，从通过Bug Bounty计划接收报告，到提供修复指导并验证修复效果
- 需要利用和开发自动化工具及AI脚本，提升安全测试的效率和覆盖面，并专注于保护新兴的AI/ML应用
- 扎实的渗透测试技能，精通Web/移动应用安全测试工具和方法，并拥有OSCP等实战认证
- 编程能力（Python/Go等），用于自动化任务、开发测试工具和编写漏洞利用脚本
- 对云平台（AWS/Azure等）和AI安全风险（如提示注入）有深入理解，并能运用AI助手辅助分析
申请策略
- 深入了解Grab的业务生态（出行、外卖、金融等），思考其不同业务线可能面临的特有安全风险，在面试中展现业务洞察力
- 研究Grab在HackerOne上的漏洞赏金计划历史，了解其关注点，这能体现你的主动性和对公司的兴趣
- 重点展示具体的渗透测试或漏洞挖掘项目，详细说明测试目标、所用工具、发现的漏洞类型（CVE编号更佳）和修复结果
- 突出编程和自动化能力，列举用Python等语言开发的安全工具、扫描脚本或自动化测试框架
- 如有AI安全、云安全相关经验或研究，务必单独列出，这是重要的加分项
- 明确列出OSCP、CREST等专业安全认证，这是硬性门槛和能力的直接证明
- 若对AI安全不熟，可快速学习OWASP LLM Top 10，并通过实验了解提示注入、模型逆向等基本概念
- 加强在主流云平台（特别是AWS）上的安全实践知识，了解其安全服务（如GuardDuty, Security Hub）和常见错误配置
面试指南
- 对于技术问题，采用“情境-任务-行动-结果”(STAR)框架回答，清晰交代背景、你的角色、具体行动和可量化的成果
- 对于流程或方案设计问题，先定义目标和约束条件，然后分步骤阐述你的方法，最后讨论可能的改进或遇到的挑战
- 请详细描述一次你成功发现的Web应用高危漏洞（如SQL注入、SSRF）的过程，包括如何发现、利用和验证的
- 你如何设计一个自动化脚本来批量检测一批Web站点的某个特定漏洞（例如，检查JWT令牌的实现是否安全）？
- 谈谈你对AI应用安全（例如大语言模型）主要风险的理解，并举例说明如何测试或防护“提示注入”攻击
- 如果你通过我们的Bug Bounty计划收到一个模糊的漏洞报告，描述一下你的处理流程（从分析到推动修复）
- 在云环境（如AWS）中，你认为最常见或最危险的安全错误配置有哪些？如何快速检测它们？
- 深入复习Web和移动端渗透测试的常见漏洞原理、利用手法及修复方案，准备好1-2个能体现技术深度的完整案例
职位点评
Watch Jobs