Senior Software Engineer, Browser Automation

Wir bauen einen autonomen, Black-Box-Webanwendung-Penetrationstester. Er crawlt und greift echte Produktionswebsites an, wie es ein erfahrener menschlicher Pentester tun würde, und findet defekte Zugriffskontrollen, Injektionen, XSS und mehr, unter einem strengen, produktionssicheren Mandat ohne Fehlalarme. Der schwierigste Teil dieser Aufgabe ist nicht die Ausnutzung, sondern das zuverlässige Steuern eines echten Browsers durch unordentliche, moderne Webanwendungen in großem Maßstab: Einloggen, Navigieren von SPAs, Überleben von Anti-Bot-Abwehrmaßnahmen und Kartografieren jeder erreichbaren Oberfläche, ohne stecken zu bleiben oder Schaden zu verursachen. Das ist der Motor, den Sie besitzen würden.

Wesentliche Funktionen

• Helfen Sie uns, unsere Browserautomatisierungs- und Crawling-Engine auszubauen und zu härten, die die Schicht ist, die Zielanwendungen vor und während eines autonomen Penetrationstests entdeckt, navigiert und mit ihnen interagiert.
• Verbessern Sie unseren browsergesteuerten Crawler mit Playwright und Stagehand.
• Bewältigen Sie die kniffligen Realitäten moderner Webanwendungen: SPA-Routing und Hydration-Timing, authentifizierte Sitzungen, mehrstufige Abläufe, Datei-Uploads, WebSocket/Socket.IO-Verkehr, unendliches Scrollen und Crawling-Fallen.
• Erweitern Sie unsere agentischen Anmelde- und Authentifizierungsfähigkeiten, einschließlich komplexer Auth-Flows, MFA/TOTP und berechtigtem Zugriff, der zuverlässig genug ist, um unbeaufsichtigt gegen Kundenumgebungen zu laufen.
• Verbessern Sie die Crawling-Abdeckung, Determinismus und Durchsatz.
• Helfen Sie, die Grenze zwischen deterministischer Automatisierung und LLM-gesteuerter Navigation zu ziehen, indem Sie Modelle chirurgisch anwenden, anstatt sie als Standard zu verwenden, und das System schnell, debugbar und kostengünstig zu betreiben.
• Zusammenarbeiten mit den Ingenieuren des Angriffsteams, die Ihre Crawlausgaben nutzen, und helfen, die graphbasierte Anwendungsmappe zu gestalten, auf die der Rest der Pipeline angewiesen ist.

Kompetenzen/Voraussetzungen

• Erfahrung im Aufbau von Produktionssoftware mit tiefgehender praktischer Erfahrung in der Browserautomatisierung (Playwright, Puppeteer oder Selenium) gegen echte, nicht triviale Webanwendungen.
• Starke TypeScript/Node.js-Kenntnisse und Komfort im Headless-Browser-Stack, einschließlich Chromium-Interna, Chrome DevTools-Protokoll, Netzwerkinterzeption, DOM und JS-Ausführungskontexten.
• Eine Erfolgsbilanz im Umgang mit flüchtigen, zustandsabhängigen, JavaScript-lastigen Anwendungen.
• Solide Instinkte für verteilte/konkurrierende Systeme: Warteschlangen, Rückdruck, Wiederholungen, Idempotenz und zuverlässiges Ausführen vieler Browsersitzungen im großen Maßstab.
• Eine Neigung zu Determinismus und Debuggbarkeit sowie das Urteilsvermögen, auf ein LLM nur dann zurückzugreifen, wenn ein deterministischer Ansatz wirklich nicht ausreicht.
• Besitzmentalität: Sie sind damit vertraut, ein kritisches Teilsystem von "funktioniert" zu "funktioniert unbeaufsichtigt, im großen Maßstab, gegen die Produktionsumgebung eines anderen" zu bringen.

Gewünscht/Schön zu haben

• Erfahrung mit agentischen Browser-Frameworks (Stagehand, Browser Use oder ähnliches) oder dem Aufbau von LLM-in-the-loop-Automatisierung.
• Hintergrund in der Webanwendungssicherheit oder offensiven Werkzeugen — Vertrautheit mit defekten Zugriffskontrollen, IDOR/BOLA, SQLi, XSS, SSRF oder SSTI in der Wildnis.
• Vertrautheit mit graphbasierten Datenmodellen (z.B. Neo4j) zur Darstellung der Anwendungsstruktur.
• Erfahrung mit großangelegtem Crawling, Endpunktentdeckung (z.B. Parsing/Analysieren von clientseitigem JS) oder Sitzungs-/Zugangsdatenmanagement für automatisierten Zugriff.
• Komfort beim Arbeiten in einer Umgebung, in der Korrektheit gegenüber einem Live-Kundensystem eine harte, nicht verhandelbare Einschränkung darstellt.

Was Sie auszeichnet:

• Sie sind über die Nutzung von Tools wie Playwright oder Puppeteer hinausgegangen und haben tatsächlich an deren Interna gearbeitet oder zum Kern beigetragen.
• Sie haben Browserautomatisierung in extremem Maßstab aufgebaut und tausende von Sitzungen gegen feindliche, stark verteidigte Ziele behandelt.
• Sie wissen genau, wie Systeme unter Druck brechen und haben die Kriegsgeschichten, um dies zu beweisen.
• Sie haben erfolgreich ausgeklügelte WAFs, Anti-Bot-Abwehrmaßnahmen und Fingerabdruckmechanismen in Produktionsumgebungen überlistet.
• Sie haben eine offensive Sicherheitsmentalität: Sie navigieren nicht nur durch eine Webanwendung; Sie kartografieren aktiv ihre Angriffsfläche und suchen nach unerreichbaren Pfaden.
• Sie haben bewährte Erfahrungen mit LLMs in der Produktion.
• Sie verstehen die ingenieurtechnischen Abwägungen: zu wissen, wann KI ein Vorteil ist und wann sie im Vergleich zu einem deterministischen Skript inakzeptable Latenz oder Nicht-Determinismus einführt.

Vorteile von Horizon3.ai

• Inklusives Team: Wir schätzen Vielfalt und fördern eine inklusive Kultur, in der jeder gedeihen kann.
• Wachstumsmöglichkeiten: Seien Sie Teil eines dynamischen und wachsenden Teams mit zahlreichen Karriereentwicklungsmöglichkeiten.
• Innovative Kultur: Arbeiten Sie in einer kollaborativen Umgebung, die Kreativität und unkonventionelles Denken fördert.
• Hybrides & Fernarbeit: Wir unterstützen eine Mischung aus Remote- und Hybridarbeitsmodellen, je nach Rolle und Standort, einschließlich unseres Büros in Chicago, wo einige Rollen regelmäßige Präsenz im Büro erfordern.
• Wettbewerbsfähige Vergütung: Wir bieten ein wettbewerbsfähiges Gehalt, Eigenkapital und Leistungen. Unsere Leistungen umfassen Gesundheits-, Seh- und Zahnversicherung für Sie und Ihre Familie, eine flexible Urlaubsregelung und großzügige Elternzeit.

Vergütung und Werte

Bei Horizon3 glauben wir, dass unsere Mitarbeiter unser größtes Kapital sind, und unsere Vergütungspolitik spiegelt diesen Grundwert wider. Wir setzen uns dafür ein, ein Umfeld zu schaffen, in dem sich alle Mitarbeiter geschätzt, respektiert und für ihre Beiträge belohnt fühlen. Unsere Vergütungsstruktur ist darauf ausgelegt, fair, wettbewerbsfähig und transparent zu sein, sodass jedes Teammitglied anerkannt und gerecht über Rollen, Ebenen und Standorte hinweg vergütet wird. In Übereinstimmung mit den Transparenzvorschriften verschiedener Bundesstaaten stellen wir die folgenden Gehaltsbereichsinformationen für diese Position bereit: Basisgehaltsbereich: 169.000 - 208.000 USD jährlich. Das genaue Gehalt wird basierend auf dem Standort, den Qualifikationen, der Erfahrung und den relevanten Fähigkeiten des ausgewählten Kandidaten festgelegt. Zusätzliche Vergütung: Alle Vollzeitstellen sind für ein Eigenkapitalpaket in Form von Aktienoptionen berechtigt.

Sie gehören hierher

Horizon3 ist nicht nur ein Arbeitgeber, der Chancengleichheit bietet - wir sind eine Gemeinschaft, die Vielfalt, Gleichheit und Inklusion als grundlegende Prinzipien unserer Kultur und unseres Erfolgs wertschätzt. Wir setzen uns dafür ein, einen Arbeitsplatz zu fördern, an dem sich jeder willkommen und respektiert fühlt, unabhängig von Rasse, Hautfarbe, Religion, Geschlecht, nationaler Herkunft, Alter, Behinderung, Veteranenstatus, sexueller Orientierung, Geschlechtsidentität oder -ausdruck, genetischen Informationen, Familienstand, Haarlänge oder einem anderen gesetzlich geschützten Status. Unser Engagement für Vielfalt und Inklusion bedeutet, dass wir bestrebt sind, eine Belegschaft zu gewinnen, zu entwickeln und zu halten, die die vielfältigen Gemeinschaften widerspiegelt, die wir bedienen. Wir glauben, dass unterschiedliche Perspektiven Innovationen vorantreiben und unsere Fähigkeit stärken, bahnbrechende Cybersicherheitslösungen zu schaffen. Bei Horizon3 wird jedes Teammitglied in einem Umfeld geschätzt und unterstützt, das persönliches und berufliches Wachstum fördert. Wir heißen Kandidaten aus allen Hintergründen und Erfahrungen willkommen und ermutigen alle qualifizierten Personen zur Bewerbung. Kommen Sie zu Horizon3, wo Ihre einzigartigen Beiträge anerkannt werden und Ihr Potenzial grenzenlos ist.