Cyber Security Analyst Pleno

COMO SEU TRABALHO PODE TRANSFORMAR O MUNDO! 

Missão da área: 

Estamos em busca de um profissional capaz de encontrar vulnerabilidades que passam despercebidas pelas ferramentas automatizadas, combinar pequenas falhas para gerar impactos críticos e comprovar cada descoberta por meio de explorações reais.

Você será responsável por testar a segurança de nossas aplicações, APIs, fluxos de pagamento, plataforma de desenvolvimento e produtos baseados em Inteligência Artificial (LLMs, RAG e agentes), atuando como um adversário, sempre de forma controlada e responsável.

Além de identificar e explorar vulnerabilidades, você trabalhará em parceria com os times de Engenharia para eliminar categorias inteiras de riscos, fortalecendo nossa postura de segurança.

Aqui suas responsabilidades serão:

• Conduzir testes de segurança em aplicações web, APIs, microsserviços, integrações e fluxos críticos de negócio.
• Identificar e explorar vulnerabilidades complexas, encadeando falhas para demonstrar impactos reais ao negócio.
• Explorar falhas na lógica de negócio, especialmente em fluxos financeiros e de pagamento.
• Realizar análise ofensiva de código-fonte (white-box) e desenvolver exploits, PoCs e ferramentas personalizadas.
• Segurança ofensiva em IA e agentes
• Identificar e explorar vulnerabilidades em soluções de IA, LLMs, RAG, copilotos e agentes, incluindo riscos de prompt injection, vazamento de dados e uso indevido de ferramentas.
• Avaliar arquiteturas de agentes e servidores MCP, contribuindo para definir padrões de segurança na adoção de IA.
• Segurança de plataforma e DevSecOps
• Testar a segurança de pipelines CI/CD, repositórios, dependências, cadeia de suprimentos de software e ambientes cloud.
• Apoiar os times na adoção de práticas de segurança desde a concepção (secure by default).
• Automação e parceria com os times
• Desenvolver ferramentas e automações para atividades de segurança ofensiva, incluindo o uso de IA.
• Priorizar vulnerabilidades, validar correções e acompanhar sua remediação.
• Elaborar relatórios técnicos com evidências, impactos e recomendações de correção.

Qualificações que você precisa ter: 

• Experiência sólida e comprovada em Segurança Ofensiva de aplicações, incluindo testes de intrusão (Pentest) em aplicações web e APIs, Red Team ou programas de Bug Bounty.
• Histórico de identificação e exploração de vulnerabilidades críticas, com evidências como CVEs, relatórios de Bug Bounty, publicações técnicas (write-ups) ou pesquisas.
• Domínio de técnicas de exploração manual que vão além de ferramentas automatizadas, incluindo encadeamento de vulnerabilidades e exploração de falhas na lógica de negócio.
• Experiência em análise ofensiva de código-fonte nas linguagens Java, Kotlin, Go, Python ou Node.js.
• Experiência no desenvolvimento de exploits e ferramentas utilizando Python, Go, JavaScript ou linguagens similares.
• Experiência prática em ataques a sistemas de IA, incluindo prompt injection, RAG, agentes e integrações com LLMs.
• Conhecimento de LLMs, embeddings, RAG, tool calling e MCP.
• Conhecimento aprofundado de OWASP Top 10, API Security Top 10, OWASP Top 10 for LLM Applications, OAuth 2.0/OIDC, JWT, REST/GraphQL e webhooks.
• Experiência em ataques a ambientes CI/CD, cadeia de suprimentos de software e ambientes cloud (preferencialmente AWS).
• Domínio de ferramentas como Burp Suite, Nuclei, Semgrep, ffuf e Caido.
• Boa comunicação e capacidade de produzir documentação e relatórios técnicos.

Habilidades que são diferenciais:

• Certificações OSWE, OSCP, OSEP, BSCP ou equivalentes.
• Boa classificação em plataformas de Bug Bounty, como HackerOne, Bugcrowd e Intigriti, ou resultados relevantes em competições de CTF.
• Experiência com ferramentas de Red Teaming para IA, como garak, PyRIT e promptfoo.
• Experiência nos segmentos de fintech, pagamentos, marketplaces ou SaaS de grande escala.
• Conhecimento de containers, Kubernetes e Infraestrutura como Código (Infrastructure as Code).
• Conhecimento de MITRE ATT&CK, MITRE ATLAS, OWASP ASVS e PCI DSS.
• Publicações, palestras ou pesquisas na área.