Application Security / AppSec

В рамках данной позиции необходимо разрабатывать и внедрять механизмы изоляции и контроля для агентных систем, включая создание песочниц для выполнения инструментов, строгую изоляцию контуров, установку лимитов на действия и реализацию функции аварийного отключения агентов. В задачи входит настройка детального аудита логов действий агентов в продакшене, а также разработка и настройка системы мониторинга аномального поведения с оповещениями о подозрительных паттернах. Требуется проводить моделирование угроз и threat modeling для новых сценариев агентов на этапе проектирования, а также разрабатывать архитектурные решения и фильтры для защиты от атак на LLM, таких как prompt injection, data exfiltration и jailbreak, включая внедрение строгой валидации выходных данных агентов. Необходимо организовывать и проводить атаки на собственные агентные системы для выявления уязвимостей до их эксплуатации злоумышленниками, а также проводить аудит безопасности агентных пайплайнов от команды LLM-инженеров до продакшен-выкатки. Контроль исходящих данных включает обеспечение соблюдения политик по использованию данных и инвентаризацию всех потоков информации, направляемой во внешние LLM-провайдеры. Важной частью работы является настройка IAM и управление секретами, проектирование и внедрение ролевой модели доступа для агентов, определение прав доступа и безопасное хранение с ротацией секретов. Также требуется опыт использования сканеров исходного кода (SAST/DAST), включая подбор, пилотирование, установку, администрирование и интеграцию в CI/CD-конвейер, а также помощь разработчикам в расшифровке результатов и устранении уязвимостей. Кандидат должен уверенно владеть Python, иметь глубокие знания Docker и Linux, а также понимание принципов работы CI/CD. Необходим практический опыт threat modeling, работа с системами управления секретами (например, HashiCorp Vault), внедрение IAM-моделей, настройка песочниц и изолированных окружений. Важно понимание работы LLM и агентных систем, опыт с фреймворками LangChain, LangGraph, MCP и знание принципов Claude Code. Кандидат должен быть готов не только проводить ревью кода, но и самостоятельно проектировать и создавать безопасных агентов.