Staff Software Engineer, Security Factory: Static Analysis

Wilayah: Amerika Serikat, Kanada, Inggris. Sumber lowongan: Jobicy. Lamar melalui halaman sumber.

GitLab adalah platform orkestrasi cerdas untuk DevSecOps. GitLab memungkinkan organisasi untuk meningkatkan produktivitas developer, meningkatkan efisiensi operasional, mengurangi risiko keamanan dan kepatuhan, serta mempercepat transformasi digital. Lebih dari 50 juta pengguna terdaftar dan lebih dari 50% perusahaan dalam daftar Fortune 100* mempercayai GitLab untuk merilis perangkat lunak yang lebih baik, lebih aman, dan lebih cepat.

Prinsip yang sama yang dibangun ke dalam produk kami tercermin dalam cara tim kami bekerja: kami merangkul AI sebagai pengali produktivitas inti, dengan semua anggota tim diharapkan untuk memasukkan AI ke dalam alur kerja harian mereka guna mendorong efisiensi, inovasi, dan dampak. GitLab adalah tempat di mana karier melesat, inovasi berkembang, dan setiap suara dihargai. Budaya performa tinggi kami didorong oleh nilai-nilai kami dan pertukaran pengetahuan yang berkelanjutan, memungkinkan anggota tim kami mencapai potensi penuh mereka sambil berkolaborasi dengan para pemimpin industri untuk memecahkan masalah yang kompleks. Mari ciptakan masa depan bersama kami saat kami membangun teknologi yang mengubah cara dunia mengembangkan perangkat lunak.

*Fortune 500® adalah merek dagang terdaftar milik Fortune Media IP Limited, yang digunakan di bawah lisensi. Klaim didasarkan pada data GitLab. Fortune 100 mengacu pada 20% perusahaan berperingkat teratas dalam daftar Fortune 500 tahun 2025, yang diterbitkan pada Juni 2025. Fortune dan Fortune Media IP Limited tidak berafiliasi dengan, dan tidak mendukung produk atau layanan GitLab.

Sekilas tentang peran ini

Sebagai seorang Staff Backend Engineer di tim Security Factory: Code Scanning GitLab, Anda membantu developer menemukan dan memperbaiki masalah keamanan. Masalah tersebut terdapat dalam kode yang mereka tulis, dan Anda menetapkan arah teknis untuk mesin analisis statis yang menemukannya.

Pekerjaan Anda mencakup dua bagian yang saling melengkapi dari analisis keamanan yang komprehensif. Di sisi mesin, Anda membentuk bagaimana perangkat analisis statis memodelkan sebuah program: memparsing kode sumber ke dalam representasi antara, menyelesaikan simbol, membangun grafik panggilan, dan melacak data yang tercemar (taint data) di berbagai file dan bahasa. Anda menentukan arsitektur dan spesifikasi yang menjadi acuan tim dalam membangun, serta mendelegasikan spesifikasi komponen di dalamnya kepada para engineer dan agen AI yang mengimplementasikannya. Di sisi evaluasi, Anda membangun dan menerapkan alat yang menguji, mengukur, dan memvalidasi apa yang ditemukan oleh mesin terhadap aplikasi tolok ukur (benchmark) dengan kerentanan yang diketahui.

Apa yang dapat dimodelkan oleh mesin dan bagaimana cara kita mengukur apa yang ditemukannya adalah bagian dari satu kesatuan. Sebagai seorang Staff Engineer, Anda memegang gambaran besar tersebut, membentuk tujuan teknis jangka panjang tim, dan meningkatkan standar bagi setiap engineer di dalamnya. Kami membangun mesin ini dengan agen AI yang menulis dan meninjau kode dari spesifikasi tertulis, di bawah arahan manusia. Kami mengharapkan Anda mengarahkan pekerjaan tersebut secara efektif dan dengan pertimbangan yang baik, serta membantu tim melakukan hal yang sama.

Yang akan Anda lakukan

• Bertindak sebagai *directly responsible individual* (DRI) untuk inisiatif dengan cakupan terbesar di tim mulai dari desain hingga pengiriman (delivery), merilis fitur besar dengan panduan minimal dan membentuk tujuan jangka panjang tim

• Membawa sistem yang dibangun oleh seorang engineer ke kepemilikan tim melalui dokumentasi, pengujian, dan tinjauan bersama

• Menetapkan arah teknis untuk alat berbasis AI yang mengimplementasikan, meninjau, dan memvalidasi perubahan mesin serta temuan, merancang pemeriksaan yang menentukan apakah perubahan tulisan agen atau hasil yang dihasilkan layak untuk digabungkan (merge), serta mengukur kualitas deteksi terhadap aplikasi tolok ukur dengan kerentanan yang diketahui, meningkatkan standar untuk apa yang dianggap sebagai hasil yang tepercaya. Hal ini mencakup aturan *static application security testing* (SAST) yang dipetakan ke CWE dan OWASP, serta *test fixture* yang membuktikan aturan tersebut bekerja.

• Memiliki arsitektur model program (pemrosesan parsing, resolusi simbol, representasi antara, grafik panggilan, serta analisis aliran data dan taint) dan dari alur kerja (pipeline) yang mengubah kode sumber menjadi temuan, serta menentukan bagaimana keduanya diperluas ke bahasa dan kerangka kerja (framework) baru

• Menyelesaikan masalah teknis dengan cakupan dan kompleksitas tertinggi, secara aktif mencari hambatan sulit yang memengaruhi seluruh tim, serta mengadvokasi peningkatan kualitas, keamanan, dan performa bersama Product Management, UX, dan tim mitra seperti Code Security dan Composition Analysis

• Menjadi mentor bagi semua engineer di tim melalui tinjauan kode (code review) dan pemrograman berpasangan (pairing), menghilangkan penghalang bagi otonomi mereka, serta mengawasi definisi dan peningkatan standar internal kami melalui peninjauan

• Berpartisipasi dalam rotasi *on-call* untuk membantu pemecahan masalah (troubleshooting) operasional produk, operasional keamanan, dan isu teknik yang mendesak

• Menentukan arsitektur menyeluruh dan dokumen spesifikasi untuk mesin, mendelegasikan spesifikasi komponen di dalamnya, serta mendorong implementasinya oleh agen AI dan engineer yang bekerja secara mandiri melalui rencana bertahap, unit perubahan kecil yang dapat ditinjau, dan spesifikasi yang selalu selaras dengan kode