Senior Software Engineer, Security Factory: Code Security

## Le poste GitLab recrute un·e Senior Backend Engineer pour son équipe Security Factory: Code Security, dont la mission est d'aider les développeurs à trouver et corriger les problèmes de sécurité qui se trouvent dans leur code et dans les composants open source dont ils dépendent. Le travail couvre deux volets complémentaires : - **Analyse des dépendances** : apprendre au moteur d'analyse de quoi un projet dépend (parsing des manifests, lockfiles et SBOM) et étendre le service qui transforme les avis de sécurité en merge requests automatiques de mise à jour des dépendances vulnérables ; - **Détection de vulnérabilités** : enrichir le moteur d'analyse avec des analyseurs hybrides mêlant détection par règles et raisonnement par IA, et construire l'outillage qui développe, évalue et livre ces analyseurs. L'équipe attend aussi une utilisation réfléchie et efficace des outils de développement assistés par IA, utilisés quotidiennement. ## Missions - Endosser le rôle de directly responsible individual (DRI) sur les initiatives de l'équipe, de la conception à la livraison, avec un encadrement minimal, en binôme avec le lead technique - Faire passer des systèmes construits par un seul ingénieur à une appropriation d'équipe : documentation, tests, revue partagée - Concevoir et livrer des analyseurs associant analyse déterministe et analyse par IA, et construire les harnais d'évaluation qui mesurent faux positifs et détections manquées sur des applications de référence contenant des vulnérabilités connues — avec des règles de détection mappées sur CWE et des fixtures de test qui prouvent leur fonctionnement - Empaqueter ces analyseurs pour toutes les cibles d'exécution : jobs de CI, workflows d'agents IA, outils en ligne de commande, avec des résultats rapportés aux formats standards de rapport de sécurité de GitLab - Concevoir et livrer le parsing des manifests, lockfiles et SBOM, et l'étendre à de nouveaux écosystèmes et formats - Livrer des fonctionnalités du service de remédiation automatisée, qui transforme les avis de sécurité en merge requests de mise à jour de dépendances — des mises à jour sandboxées à la création de merge requests - Résoudre des problèmes techniques de grande ampleur et complexité, rechercher activement les obstacles qui touchent toute l'équipe et porter les améliorations de qualité, de sécurité et de performance auprès du Product Management, des parties prenantes engineering (Frontend, UX) et des équipes partenaires (Code Scanning, Composition Analysis) - Encadrer les ingénieurs intermediate par la revue de code et le pairing, et maintenir les standards internes de style, de maintenabilité et de bonnes pratiques - Participer aux rotations d'astreinte pour le support du troubleshooting des opérations produit, des opérations sécurité et des urgences engineering ## Profil - Expérience de la construction de son propre outillage LLM — harnais, pipeline d'agents, évaluations — avec le jugement de savoir quand un résultat est fiable et quand il ne l'est pas - Expérience professionnelle substantielle d'écriture et de test de code de production dans un langage système, en particulier Go et/ou Rust, avec une réelle profondeur dans l'un des deux. Ruby (côté remédiation) et Python (certains analyseurs) sont également utilisés - Familiarité avec les gestionnaires de paquets et la gestion des dépendances d'un ou plusieurs écosystèmes : npm, Maven, pip, Bundler, Cargo ; une expérience d'outillage autour d'eux est appréciée