蚂蚁集团-AI 应用安全治理-蚂蚁星河

优缺点分析

角色解读

• 深度方向：可以成为Security for AI领域的专家，在AI安全标准制定、前沿风险研究方面深耕
• 广度方向：可以扩展至整个安全治理体系的架构设计，或向安全管理岗位发展，负责更大范围的安全策略
• 跨界方向：利用对AI技术的深度理解，向AI产品经理、AI基础架构安全等交叉领域拓展
• 你将负责蚂蚁集团内AI新应用（如智能体、大模型、MCP工具链）的安全风险治理，构建从发现、评估到修复的全流程体系
• 你需要深入理解传统Web安全漏洞（如SQL注入）和AI新型安全风险（如提示注入、Agent RCE），并对它们进行审计、定级和修复跟进
• 你需要将安全检查（SDL）融入研发流程，并通过编写规范、进行代码Review来提升整体安全水位
• 扎实的应用安全基础：精通Web与服务端安全，熟悉OWASP Top 10漏洞原理与修复
• 前沿的AI安全知识：理解LLM、Agent、MCP架构，了解提示注入、模型滥用等Security for AI核心风险
• 安全工具与流程实践：熟悉SAST/DAST、WAF等工具，并具备将安全融入SDL流程的实践经验
• 软性能力：优秀的文档报告能力和跨团队沟通推动力

申请策略

• 在求职信或简历项目描述中，可以简要阐述你对AI应用安全挑战的理解，展示思考深度
• 关注蚂蚁集团以及行业在AI安全、大模型安全方面的最新动态和公开文章，在面试中体现你的关注和见解
• 重点突出Web/服务端安全漏洞（如OWASP Top 10）的挖掘、分析和修复经验
• 清晰描述与AI相关的安全实践，哪怕是小项目（如分析过LLM提示注入、搭建过简单的安全测试环境）
• 展示项目文档、安全评估报告或推动安全规范落地的具体案例，体现文档和推动力
• 如有相关CVE、安全工具开发、开源贡献或技术分享，务必在简历中醒目呈现
• 系统学习LLM、Agent、MCP的基础知识，理解其工作原理和常见攻击面
• 动手实践：尝试搭建简单的Agent应用并对其进行安全测试（如提示注入攻击），积累一手经验

面试指南

• 对于技术问题（漏洞案例、AI风险），采用“背景-问题-分析-行动-结果”的STAR框架，突出你的技术深度和解决问题的逻辑
• 对于流程/设计问题（SDL建设），先阐述核心原则（如风险驱动、左移），再分阶段或分模块给出具体可行的建议
• 对于沟通协作问题，强调理解业务、提供可行替代方案、数据/风险沟通，最终目标是达成安全共识而非单纯对立
• 请介绍一个你过去处理过的最复杂的应用安全漏洞案例，从发现到修复的完整过程
• 你如何理解LLM应用中的提示注入攻击？有哪些可能的防御或缓解措施？
• 如果让你负责建设一个AI应用的SDL流程，你会考虑将哪些关键的安全检查点嵌入进去？
• 在推动业务团队修复一个高危安全漏洞时，如果业务方以影响上线时间为由提出异议，你会如何处理？
• 梳理自己的核心安全项目经验，准备好详细的技术细节和成果数据