Staff Software Engineer, Security Factory: Static Analysis

## Le poste GitLab recrute un Staff Backend Engineer au sein de l'équipe Security Factory: Code Scanning : tu définis la direction technique du moteur d'analyse statique qui aide les développeurs à trouver les failles dans leur code. Deux volets complémentaires : - **Le moteur** : la façon dont la boîte à outils d'analyse statique modélise un programme — parsing du source en représentations intermédiaires, résolution de symboles, construction de graphes d'appels, suivi des données contaminées (taint) entre fichiers et langages. Tu définis l'architecture et les spécifications, et tu délègues les spécifications de composants aux ingénieurs et aux agents IA qui les implémentent. - **L'évaluation** : l'outillage qui teste, mesure et valide les résultats du moteur contre des applications de référence contenant des vulnérabilités connues. Le moteur est construit avec des agents IA qui écrivent et reviewent du code à partir de spécifications écrites, sous direction humaine ; il est attendu de piloter ce travail efficacement et avec bon jugement, et d'aider l'équipe à en faire autant. ## Missions - Être le DRI des initiatives à plus fort périmètre de l'équipe, de la conception à la livraison, et façonner les objectifs techniques à long terme. - Faire passer les systèmes construits par un ingénieur seul en propriété d'équipe : documentation, tests, review partagée. - Définir la direction technique de l'outillage assisté par IA qui implémente, review et valide les changements du moteur ; concevoir les contrôles qui décident si un changement écrit par un agent ou un résultat généré est fusionnable ; mesurer la qualité de détection contre des applications de référence vulnérables. Inclut des règles SAST mappées CWE et OWASP et les fixtures de test qui les prouvent. - Posséder l'architecture du modèle de programme (parsing, résolution de symboles, représentations intermédiaires, graphes d'appels, analyse de taint et de flux de données) et du pipeline qui transforme le source en findings, et définir leur extension à de nouveaux langages et frameworks. - Définir l'architecture d'ensemble et les documents de spécification, déléguer les spécifications de composants, et piloter leur implémentation par des agents IA et des ingénieurs autonomes : plans par phases, petites unités de changement reviewables, spécifications maintenues en phase avec le code. - Construire et maintenir le harness, les instructions d'agents et les compétences agentiques qui rendent fiable le code écrit par agents : agents de codage et de review séparés, règles et tests inaltérables par les agents de codage, panneaux de review indépendants composés d'agents de fournisseurs de modèles différents, portes de performance, API et dépendances, avec escalade en review humaine pour les changements à risque. - Résoudre les problèmes techniques aux plus hauts périmètres et complexités, et porter la qualité, la sécurité et la performance auprès du Product Management, de l'UX et des équipes partenaires (Code Security, Composition Analysis). - Faire grandir tous les ingénieurs de l'équipe par la review et le pair programming, lever les blocages à leur autonomie, et porter l'amélioration des standards internes. - Participer aux rotations d'astreinte (opérations produit, opérations sécurité, urgences d'ingénierie). - Suivre la recherche en analyse de programmes et sécurité, mener des spikes assistés par IA, et transformer les résultats en prototypes, propositions et contributions amont, y compris la divulgation responsable de findings dans des projets open source. ## Profil - Expérience de construction de son propre tooling LLM : harness, pipeline d'agents, évaluations — avec le jugement de savoir quand un résultat est fiable ou non. - Expérience professionnelle étendue d'écriture, de test et de review de code de production en Rust, Go ou langage système comparable (l'annonce source est tronquée à ce niveau ; la liste des exigences continue sur la source).