高级Web安全工程师，浏览器平台

### 我们是谁 你好，我们是DuckDuckGo，一家在线保护公司，也是一个远程优先的团队，拥有300多名成员，致力于提高在线信任的标准。公司成立于2008年，自2014年起盈利，现在年收入超过1亿美元，数百万用户使用我们的浏览器（适用于Mac、Windows、iOS和Android）、搜索引擎和DuckDuckGo订阅服务。我们还提供私密、有用且可选的AI服务，包括Duck.ai，它允许你在一个地方与ChatGPT、Claude和其他AI私密聊天。我们以信任、包容和授权项目管理为核心文化，每个团队成员都对自己的项目拥有完全的所有权，从范围界定到执行再到事后总结。如果你想对自己的工作拥有端到端的控制权，那你来对地方了！ ### 你的团队和角色 在安全功能团队工作，你将在确保我们的安全能力跟上快速发展的产品开发方面发挥关键作用，包括我们不断扩展的AI产品，如Duck.ai和代理浏览，直接保护我们所有产品的用户。你还将维护公司的安全事件检测和响应能力，并从事相关项目。最近的项目包括：

• SERP安全缓解措施
• 代理浏览安全缓解措施
• 代理浏览器强化
• 浏览器和集成安全审计

作为应用安全高级安全工程师，你将执行SERP安全缓解措施（XSS预防、开发工具以帮助工程师编写更安全的代码），管理应用安全扫描基础设施的设置，构建和维护自动部署安全修复的工具包，强化我们的代理浏览和DuckAI体验以抵御新兴威胁（如提示注入），进行浏览器和集成安全审计（特殊页面、DuckAI集成、密码管理器等），执行内部红队操作（模拟攻击场景），支持安全分类等！ ### 关于你

• 7年以上网络或应用安全经验（执行安全评估、漏洞研究、渗透测试或安全代码审查）
• 最近有创建以安全为中心的代理工具的经验
• 有影响大型功能设计以从一开始就融入安全性的经验
• 具有JavaScript的高级编程或脚本经验。任何额外的技术栈经验都是加分项：Swift/Kotlin/C#/JavaScript（原生应用）或JavaScript/Perl/Go（搜索）。
• 了解Web安全模型（例如同源策略）；有CSP、CORS、SameSite cookies、sec-fetch-*、CORB、CORP、Sanitizer API和Trusted Types的经验是有益的
• 有识别和利用Web漏洞（XSS、CSRF、注入攻击、授权缺陷等）的实际经验
• 熟悉安全测试工具和框架
• 有与产品工程师合作的经验，就安全问题提供建议并帮助团队更快地发布安全代码
• 有塑造组织对安全的思考方式的经验——推动最佳实践、改进流程并提高团队的标准

### 薪酬 每年178,500美元和股票期权。薪酬在整个组织中是透明的，所有在同一专业级别和全球地区的团队成员都获得相同的薪酬。   公司赞助的健康福利仅限于美国的团队成员。此计划不适用于位于其他国家的团队成员，如加拿大或英国。   我们的团队成员支持指南解释了如何优先考虑您的福祉，包括带薪育儿假、办公设置和共同工作津贴。 ### 招聘流程 招聘工作最有效的方式是双向选择。了解我们如何帮助您了解DuckDuckGo，想象您在这里的未来角色，并了解更多关于我们如何招聘的信息。 ### 多样性、公平性和包容性 DuckDuckGo为所有团队成员和申请人提供平等的工作机会，并禁止任何基于种族、肤色、民族、种姓、宗教、年龄、性别（包括怀孕）、国籍、残疾状况、遗传信息、受保护退伍军人身份、性取向、性别认同或表达或我们政策或联邦、州或地方法律所禁止的任何其他特征的歧视和骚扰。 我们希望确保我们的招聘流程是易于访问的。如果您因医疗状况或残疾而需要合理的住宿安排，请发送电子邮件至[email protected]，告知我们您的请求性质。 请注意：

• 您将被要求通过视频会议参加视频会议
• 预计每年至少出差两次：一次是我们的全员会议，另一次是团队休养（每次约4-5天）。虽然特殊情况可能会影响出勤，但强烈建议每个人都参加。
• 虽然我们提供灵活的工作安排，没有核心工作时间，但预计每周平均全职工作时间为40小时。
• 成功的候选人必须通过背景调查作为加入团队的条件。

通过申请此职位，您确认所有提交的信息准确且完整。您进一步承认，在申请过程中提供虚假或欺诈信息是拒绝提供工作机会、撤销任何现有工作机会或其他不利行动的原因，包括在您开始工作后终止工作。 ### 披露声明：招聘流程中使用AI 作为我们致力于增强招聘流程的一部分，我们利用人工智能（AI）技术来协助审查和总结求职申请和测试项目，包括那些集成到我们招聘供应商平台中的工具。我们使用AI来标记潜在的欺诈性申请，分析和总结申请人的经验、面试和项目表现，并帮助简化我们的选择流程。 ### 关键原则