高级应用安全工程师（白盒方向）

岗位概述：

负责公司核心系统的白盒代码审计、SAST 规则建设、AI 辅助审计与第三方组件/供应链安全治理，前置发现并推动修复高危漏洞，提升研发安全水位与漏洞治理效率。

岗位职责：

1. 静态应用安全测试与代码审计

负责公司核心系统的源代码安全审计，熟练使用主流静态代码扫描工具（如 xcheck、Semgrep、CodeQL 等），并能根据实际检测需求编写、优化扫描规则。

跟踪 LLM 及 AI 辅助工具在代码审计中的应用，利用 AI 提升审计效率与研判准确性，保障集团活跃项目代码扫描的高覆盖率与扫描质量。

探索 AI 在越权、条件竞争等逻辑漏洞方向的挖掘能力，形成可落地的检测思路、工具或最佳实践。

输出代码审计报告、修复建议与安全编码规范，推动研发团队完成漏洞闭环。

2. 第三方组件与供应链安全审计

借助 SCA 工具扫描项目第三方依赖引入的合规性与安全风险，排查高风险组件、已知漏洞及许可证风险，并推动治理闭环。

对无法直接升级的组件进行漏洞分析与可利用性评估，提供非升级修复建议。

跟踪并响应组件投毒、恶意包等供应链安全情报，快速排查影响范围，协助业务方止损与应急响应。

参与组件安全基线、准入机制和供应链安全运营流程建设。

3. 安全建设与跨团队推进

与研发、架构、运维及业务团队协作，推动安全技术方案、扫描门禁和修复治理落地。

具备复杂项目技术规划和跨团队推进经验，能够协调资源、管理风险并交付结果。

沉淀审计规则、治理方案和知识库，提升团队整体应用安全能力。

任职要求：

学历与经验：本科及以上学历，计算机、信息安全相关专业，具备 3年及以上应用安全或代码审计相关经验。

语言与框架：熟悉 Java/Go/Python/PHP/JS 中至少两种语言，具备扎实的软件工程基础，熟悉其常见框架的安全特性。

安全基础：深入理解 OWASP Top 10 漏洞原理及审计方法（SQL 注入、XSS、CSRF、SSRF、反序列化等），具备人工挖掘能力，能够审计代码中各类注入类、逻辑类漏洞；熟练使用静态代码分析工具及动态调试技术。

AI 与大模型能力：具备大模型或 Agent 项目经验，了解工具调用、上下文管理及效果评测，能够定位问题并验证优化效果；能够独立完成方案设计、开发及复杂问题排查。

沟通与推进：具备良好的沟通协作与项目推进能力，能够推动技术方案落地；具备复杂项目技术规划和跨团队推进经验。

综合素质：责任心强，具备 owner 意识和持续学习能力，关注应用安全、AI 安全及供应链安全前沿动态。

加分项：

有 CVE/CNVD 漏洞编号，特别是 Java 或 Go 生态相关。

有 AI/Agent 在代码审计、漏洞挖掘场景的落地经验。