招贤纳士 | 产品安全高级经理（蓝军与威胁情报）

📍 北京 | 🏷️ Band9 | 💰 50k~80k

1、团队管理与技术能力建设 

• 全面负责蓝军、威胁情报及相关安全研究团队的业务规划、人员管理及技术能力建设；

• 根据公司产品安全战略制定年度及中长期技术规划，并完成目标拆解、资源配置及重点项目管理；

• 建立团队技术梯队及专家培养机制，持续提升漏洞研究、攻防测试、威胁分析等安全攻防能力；

• 建立完善的项目管理、SLA、交付质量及重大风险升级机制，确保关键安全任务高质量完成；

• 持续建设团队核心技术竞争力，形成具有行业影响力的攻击性安全与威胁研究能力。

2、蓝军与攻击性安全

• 负责建立和持续完善公司产品安全蓝军能力体系；

• 从真实攻击者视角对重要产品、服务、云平台及业务系统开展攻击面分析、渗透测试和专项攻防验证；

• 组织开展针对关键产品和重要业务场景的红队测试、攻击模拟及安全验证；

• 研究复杂攻击链、身份与权限攻击、供应链攻击、云环境攻击、业务逻辑攻击及其他新型攻击方法；

• 对传统安全测试难以发现的复杂风险进行深度研究和验证；

• 将蓝军发现的问题转化为安全标准、测试规则、防御能力及产品安全改进措施，形成风险闭环。

3、产品安全威胁情报

• 建立并持续完善面向产品安全的威胁情报体系；

• 持续跟踪全球漏洞、攻击活动、黑灰产、APT 组织、新型攻击技术及产品相关威胁趋势；

• 建立外部威胁、漏洞情报、攻击技术、受影响资产与公司产品之间的关联分析能力；

• 推动威胁情报从“信息收集”向“可执行情报”转变，为产品安全评审、漏洞治理和风险决策提供支持；

• 建立重大漏洞和高风险事件快速分析机制，对重要 0-Day、N-Day 及行业重大安全事件进行快速研判；

• 推动威胁情报与漏洞管理、PSIRT、产品安全评审及安全监控能力联动。

4、外部攻击面与主动风险发现

• 建立公司相关产品及互联网服务的持续攻击面识别和风险发现能力；

• 推动互联网暴露资产、域名、服务、云资源及相关数字资产的持续发现和风险监控；

• 结合威胁情报、自动化扫描和人工验证识别潜在高风险暴露；

• 建立从风险发现、验证、分级、通知、整改到复测的闭环机制；

• 对重大外部风险进行快速升级并推动相关业务团队完成整改。

5、高级安全攻防研究

• 组织开展重点技术方向的漏洞攻防研究和专项研究；

• 推动 Web、服务端、客户端、云原生、供应链、身份认证、协议及新兴技术等领域的安全攻防研究；

• 鼓励并指导团队开展高质量原创安全攻防研究、漏洞挖掘及技术创新；

• 对外部高价值漏洞和新型攻击技术进行分析，并判断其对公司产品的潜在影响；

• 将安全攻防研究成果转化为检测规则、安全工具、测试方法及防御能力。

6、 AI 安全攻防与 AI 赋能

• 建立针对大语言模型、生成式 AI、RAG、Agent 及 AI 应用的攻击测试和安全研究能力；

• 开展 Prompt Injection、Jailbreak、越权操作、敏感信息泄露、Agent 工具滥用、模型供应链及 AI 业务逻辑等风险研究；

• 推动 AI Red Team 能力建设，形成适用于公司 AI 产品和 AI 应用的安全测试方法；

• 研究 AI 辅助漏洞发现、攻击面分析、漏洞利用分析、威胁情报分析和攻击链构建等技术；

• 推动 AI Agent 及自动化技术在蓝军和威胁情报工作中的应用，大幅提升风险发现效率及覆盖范围；

• 持续关注 AI 驱动攻击技术的发展，并提前研究相应防御措施。

7、跨部门协作与风险推动

与 PSIRT、PSRB、安全评审、研发、云平台、IT 及全球安全团队保持紧密协作。

对重大安全风险进行专业判断并推动管理升级。

将蓝军和威胁情报发现转化为研发、评审、检测及防御侧的长期改进措施。

参与重大产品安全事件分析及技术支持。

代表团队参与国内外安全技术交流、行业合作及专业活动。

1、教育背景

• 硕士及以上学历；

• 具备优秀的计算机科学、网络安全或人工智能安全专业基础；

• 计算机、网络空间安全、信息安全、软件工程、电子信息等相关专业优先。

2、语言能力

• 英语必须能够作为工作语言；

• 能够独立参加全英文技术和管理会议，与全球安全及研发团队进行深入沟通；

• 能够独立完成英文技术报告、管理汇报及正式文档；

• 具备全球化团队或跨文化项目经验者优先。

3、工作经验

• 8 年以上产品安全、网络与基础设施安全软件研发、云平台、基础设施、安全平台或相关领域工作经验；

• 3 年以上正式技术团队管理经验；

• 具备 10 人以上技术团队实际管理经验；

• 具备大型科技企业、互联网企业、专业安全团队或大型产品研发组织工作经验；

• 具备红队、蓝军、渗透测试、漏洞研究或威胁情报相关体系建设经验；

• 具有大型复杂产品、互联网服务、云环境或全球化产品安全经验者优先。

4、核心专业能力

• 精通 Web、服务端、API、网络及常见基础设施安全攻防技术；

• 具备扎实的渗透测试、漏洞挖掘、攻击链分析及风险验证能力；

• 熟悉红队、攻击模拟、外部攻击面管理及复杂业务逻辑安全测试；

• 熟悉 MITRE ATT&CK 等攻击技术框架及常见攻击者 TTP 分析方法。

• 熟悉漏洞情报、威胁情报生命周期及情报分析方法；

• 能够对 CVE、0-Day、N-Day 及重大行业安全事件进行快速技术分析和影响判断；

• 熟悉云原生、身份安全、软件供应链等新型攻击面；

• 具备较强的工具开发、自动化或安全平台建设能力；

• 具备优秀的技术判断能力，能够区分理论风险与真实可利用风险；

• 具备亲自带队打技术硬仗的能力；

• 具备较强的 AI 技术理解及实际应用经验；

• 熟悉大语言模型、生成式 AI、RAG、Agent 等主流 AI 应用架构；

• 熟悉 AI 应用常见攻击方法及安全风险；

• 具备 AI Red Team、大模型安全测试或 AI 安全研究经验者优先；

• 具备利用 AI 开展漏洞研究、情报分析、自动化攻防或攻击面分析实践经验者优先；

5、管理与综合能力

• 具备成熟的技术团队管理能力及专家人才培养能力；

• 具备较强的技术战略规划及能力体系建设能力；

• 具备优秀的风险判断、优先级管理及重大问题决策能力；

• 具备较强的跨团队沟通与技术推动能力；

• 具备 Owner 意识和结果导向，能够对团队技术能力及业务结果负责；

• 具备强烈的技术好奇心和持续学习能力，对新攻击技术保持高度敏感并参与实践。