岗位职责
- 供应链安全运营体系建设：持续推动SCA部署覆盖代码扫描、镜像扫描、运行时扫描等场景，通过AI Agent能力提升供应链安全运营体系效率，确保供应链漏洞情报尽快得到响应分析与影响面排查，及时推送漏洞治理。
- 应急响应与安全治理：主导安全事件的应急响应流程建设，联动各协同方响应安全事件，及时采取止血与治理措施避免影响面进一步扩大，跟进并确保治理工作收尾。
- 云资产盘点与关联分析：围绕阿里云IaaS、SaaS、PaaS、MaaS各层云产品服务，协同产研团队与业务线安全人员完成资产盘点与调用链路分析，打通代码、镜像、容器等资产实例关联关系，支持安全检测能力实现基于调用链路的风险发现能力。
职位要求
- 熟悉软件供应链安全原理，掌握常见攻击手法（如依赖混淆、恶意包植入、许可证风险）及对应的检测、修复方案；
- 具备脚本编写能力（Python/Go/Shell 等），能通过自动化手段完成 SCA 扫描、SBOM 生成及日常告警运营工作；
- 具有良好的沟通协作能力，能推动研发、业务线安全人员等多方团队落实供应链安全规范与整改方案；
- 具有将AI Agent落地在具体业务场景的经验，能够熟练使用AI Agent高质量地完成风险挖掘、风险运营等工作。
- 了解基础云产品、云服务的使用方式及安全问题，并能够基于对云产品的理解梳理云场景的资产体系，建设基于云产品实例和云产品依赖关系的云产品安全图谱。
- 下面条件满足其一即可： a. 精通主流 SCA 工具原理，有大规模开源组件治理、依赖锁定及制品库扫描落地经验； b. 熟悉大模型基本原理与应用，掌握 Prompt 工程、RAG 技术及 AI Agent 开发，能将 AI 应用于漏洞优先级排序（EPSS）或误报研判； c. 具备深厚的代码审计能力（Java/Go/C++ 等），能独立分析复杂依赖树中的传递性风险及隐蔽后门； d. 熟悉云原生环境下的供应链安全，对容器镜像安全、CI/CD 流水线安全及 SBOM 交付标准有实战经验。 加分项
- 具备大型云厂商或互联网企业供应链 SDL 全流程落地经验；
- 有自研或二次开发 SCA、黑白灰盒扫描器、依赖分析工具的经验；
- 熟悉深度学习与大模型安全，具备 LLM 微调、对齐经验，或成功落地过 AI 安全运营场景（如利用 Agent 处理安全任务）；
- 在各大 SRC 平台提交过供应链类漏洞、在知名社区发表过相关技术文章或拥有高质量开源项目；
- 具有红队/蓝队背景，特别是在供应链攻击模拟、投毒检测方面有实战成果；
- 熟悉国内外软件供应链安全法规与合规要求（如监管对 SBOM 的诉求），有应对审计经验；
- 对业界新型供应链攻击趋势（如 Log4j 类事件）有敏锐的跟踪分析与快速响应能力；
- 具备跨领域安全知识，了解虚拟化安全、硬件固件安全或移动端安全者优先。
