Senior ML Engineer - Malware Detection

Diese Position wird im Auftrag eines Partnerunternehmens ausgeschrieben, das alle Bewerbungen und nächsten Schritte verwaltet. Unser Partner sucht einen Senior ML Engineer - Malware Detection, der remote in der Schweiz arbeitet.

Der Senior ML Engineer wird fortschrittliche Machine-Learning-Lösungen entwickeln und bereitstellen, um webbasierte Malware in großflächigen Linux-Hosting-Umgebungen zu erkennen. Sie werden mit einem umfangreichen Datensatz von realen Malware-Proben, Analystenentscheidungen, Erkennungsregeln und Bereinigungsergebnissen arbeiten und Produktionsintelligenz in genauere und effizientere Sicherheitssysteme umwandeln. Ihre Arbeit wird klassische Machine Learning, Transformer-Modelle, LLM-unterstützte Triage und automatisierte Signaturerstellung umfassen. Sie werden den gesamten Prozess von Rohdaten und Experimenten bis hin zur Produktionsbereitstellung verantworten, wobei der Erfolg anhand von tatsächlichen Verbesserungen bei der Erkennung und kontrollierten Fehlalarmraten gemessen wird. In enger Zusammenarbeit mit Malware-Analysten, Infrastruktur-Spezialisten und anderen ML-Ingenieuren haben Sie Zugang zu dedizierten GPU-Ressourcen und modernen KI-unterstützten Entwicklungstools. Diese Remote-First-Möglichkeit ist ideal für einen erfahrenen ML-Praktiker, der gerne experimentiert, rigorose Bewertungen durchführt und messbare Auswirkungen auf die Cybersicherheit erzielt.

Verantwortlichkeiten

• Entwicklung von Machine Learning-Modellen: Entwerfen, Trainieren, Feinabstimmen und Bereitstellen von ML-Modellen unter Verwendung von Produktions-Malware-Daten zur Verbesserung der Erkennungsabdeckung und Identifizierung von Bedrohungen, die traditionelle Signaturen und Regeln möglicherweise übersehen.
• Malware-Klassifizierung und Triage: Entwicklung von Modellen, die bösartige Dateien von harmlosen Inhalten unterscheiden, verdächtige Dateien für eine tiefere Inspektion priorisieren und Proben an die geeignetsten Erkennungsmaschinen weiterleiten.
• Automatisierte Signaturerstellung: Systeme entwickeln, die Erkennungssignaturen aus aufkommenden Malware-Kampagnen generieren, um Sicherheitsanalysten zu helfen, schneller auf neue und sich entwickelnde Bedrohungen zu reagieren.
• Kontextbewusste Bedrohungserkennung: Methoden entwickeln, um bösartige Inhalte zu identifizieren, die eine kontextuelle Analyse erfordern, einschließlich Phishing-Seiten, Webshells, Skriptinjektionen und kompromittierten Website-Komponenten.
• Optimierung der Erkennung und Bereinigung: Verbesserung der Erkennungsgenauigkeit und der Effektivität der Bereinigung, sodass infizierte Websites nach der Behebung sauber bleiben und wiederkehrende Bedrohungen identifiziert werden können.
• Modellbewertung und Validierung: Etablierung rigoroser Bewertungsrahmen unter Verwendung zeitbasierter und kampagnenbasierter Datensatzsplits, historischer Fehlalarm- und Fehlklassifikationsfälle sowie Regressionstests zur Vermeidung von Datenleckagen und zur Überprüfung von Verbesserungen vor der Bereitstellung.
• Inference- und Ressourcenoptimierung: Optimierung des Modell-Durchsatzes, der Latenz, der CPU-Nutzung, des Speicherverbrauchs und der Kosten pro Datei zur Unterstützung einer zuverlässigen Bereitstellung über große Hosting-Flotten.
• Produktionsbereitstellung und Überwachung: Modelle von Experimenten in die Produktion überführen, indem Schattenbereitstellungen und kontrollierte Releases verwendet werden, um Beweise zu sammeln, bevor die Live-Erkennung aktiviert wird.
• Kontinuierliches Lernen und Retraining: Frisches Feedback von Analysten und neu identifizierte Fehlklassifikationen in Trainingsdatensätze einbeziehen, regelmäßige Retrainingszyklen etablieren und Trends in Erkennungsraten und Modellleistung überwachen.
• ML-Infrastruktur und Experimentation: Wiederverwendbare Trainingspipelines entwickeln, Datensatz-Tools pflegen, GPU-Ressourcen effektiv nutzen und mehrere parallele Forschungs- und Entwicklungsanstrengungen ermöglichen.
• Cross-funktionale Zusammenarbeit: Eng mit Malware-Analysten, Erkennungsingenieuren und Infrastrukturteams zusammenarbeiten, um von Kunden gemeldete Erkennungsfehler zu untersuchen, aufkommende Bedrohungen zu verstehen und operationale Erkenntnisse in Modellverbesserungen zu übersetzen.
• Technische Dokumentation und Wissensaustausch: Architektonische Entscheidungen, Bewertungsmethoden, Modellbeschränkungen, Hardwareanforderungen und Produktionsergebnisse dokumentieren. An asynchroner Zusammenarbeit und fehlerfreien Nachbesprechungen teilnehmen, um die Ingenieurpraktiken kontinuierlich zu verbessern.
• Lieferung gegen Meilensteine: Ein anfängliches Produktionsdatenmodell im ersten Monat trainieren und bewerten, mehrere Modelle bis zum dritten Monat in die Produktion oder Schattenprüfung bringen und helfen, ML als wichtige Quelle neuer Erkennungen im ersten Jahr zu etablieren.

Anforderungen

• Produktion ML Erfahrung: Mindestens fünf Jahre Erfahrung in der Entwicklung und Bereitstellung von Machine-Learning-Systemen in der Produktion, einschließlich mindestens zwei Jahren in einem adversarialen Bereich wie Cybersicherheit, Betrug, Spam oder Missbrauchsprävention.
• Transformer-Modell-Expertise: Praktische Erfahrung in der Schulung und Feinabstimmung von Transformer-Modellen, einschließlich Datenvorbereitung, Code-Tokenisierung, LoRA/QLoRA oder vollständiger Feinabstimmung, Destillation und Quantisierung. Die Erfahrung sollte über das bloße Aufrufen gehosteter Modell-APIs hinausgehen.
• Klassisches Machine Learning: Starkes Verständnis von Gradient Boosting, linearen Modellen mit spärlichen Merkmalen, Wahrscheinlichkeitskalibrierung, Klassenungleichgewicht und die Fähigkeit zu bestimmen, wann traditionelle ML-Methoden LLM-basierten Ansätzen überlegen sind.
• Rigorose Modellbewertung: Erfahrung in der Gestaltung von lecksicheren Splits nach Zeit und Malware-Familie, Bewertung der Präzision unter festen Fehlalarmgrenzen, Pflege von Regressiondatensätzen und Verständnis der Einschränkungen der Offline-Bewertung bei der Vorhersage der Produktionsleistung.
• Inference- und Kostenoptimierung: Nachgewiesene Fähigkeit, Durchsatz und Latenz zu messen und Modelle für CPU-, Speicher- und Betriebskostenbeschränkungen zu optimieren. Vertrautheit mit Technologien wie ONNX, llama.cpp, vLLM und int8/int4-Quantisierung ist wertvoll.
• Technischer Stack: Starke Fähigkeiten in Python, PyTorch und Hugging Face sowie SQL-Expertise zur Analyse großer Datensätze mit ClickHouse oder vergleichbaren analytischen Datenbanken.
• Web-Technologie-Vertrautheit: Erfahrung mit PHP oder JavaScript oder die Bereitschaft, diese Technologien zu lernen, während Sie mit Malware-Analysten zusammenarbeiten.
• KI-unterstützte Ingenieurarbeit: Täglicher Einsatz von KI-Coding-Agenten mit der Fähigkeit, zu demonstrieren, wie sie die Entwicklung, Untersuchung und Ingenieureffizienz unterstützen.
• Schriftliche Kommunikation: Englischkenntnisse auf B2-Niveau oder höher, mit besonders starken schriftlichen Kommunikationsfähigkeiten für technische Dokumentation und asynchrone Zusammenarbeit.
• Analytische und Problemlösungsfähigkeiten: Fähigkeit, komplexe Erkennungsprobleme zu untersuchen, Modellresultate zu interpretieren, fundierte technische Abwägungen zu treffen und messbare Verbesserungen über experimentelle Metriken hinaus zu priorisieren.
• Eigenverantwortung und Zusammenarbeit: Komfort beim Übernehmen von Verantwortung vom Experimentieren bis zur Produktionsbereitstellung, während Sie effektiv mit Analysten, Ingenieuren und anderen Stakeholdern zusammenarbeiten.

Die folgende Erfahrung wäre ein starker Vorteil

• Web-Malware-Sicherheit: Erfahrung mit Web-Malware, Webshells, Phishing-Kits oder WordPress-Sicherheit.
• Code-basiertes Machine Learning: Erfahrung in der Entwicklung von Modellen über Quellcode mithilfe von abstrakten Syntaxbäumen (ASTs), Token-Features, codefokussierten Sprachmodellen oder Graphmodellen der Programmstruktur.
• Malware-Analyse: Kenntnisse in Malware-Clustering, Ähnlichkeitsanalysen und Methoden zur Identifizierung verwandter Proben oder aufkommender Kampagnen.
• Trainingsinfrastruktur: Erfahrung mit Multi-GPU-Training auf Bare-Metal-Infrastruktur, MLflow oder Weights & Biases und Versionierung von Datensätzen.
• Systemprogrammierung: Vertrautheit mit Go oder Rust für effiziente Inferenz auf Servern.
• Sicherheitsforschung: Veröffentlichte Arbeiten, technische Präsentationen oder Konferenzvorträge, die sich auf Machine Learning für Cybersicherheit konzentrieren.

Vorteile

• Vollständig remote Arbeit: Arbeiten Sie remote mit Flexibilität, um Ihren Zeitplan zu organisieren und von verschiedenen Standorten weltweit zu arbeiten, abhängig von den Einstellungsvereinbarungen.
• Flexible Arbeitszeiten: Autonomie, um Ihren Arbeitstag in einer remote-first, asynchronen Umgebung zu strukturieren.
• Bezahlter Urlaub: 24 Tage bezahlter Urlaub jährlich.
• Öffentliche Feiertage: 10 Tage nationale Feiertage.
• Krankheitsurlaub: Unbegrenzter Krankheitsurlaub.
• Gesundheitsversorgung: Finanzielle Unterstützung für private Krankenversicherung.
• Wellness-Vorteile: Erstattung für Co-Working-Spaces und Fitness- oder Sportaktivitäten.
• Lernen und Entwicklung: Ein Bildungsbudget und ein starker Fokus auf berufliches Wachstum.
• Innovationsbelohnungen: Die Möglichkeit, eine Belohnung für die Entwicklung einer innovativen Idee zu erhalten, die patentiert werden kann.
• Dedizierte technische Ressourcen: Zugang zu dedizierten GPU-Ressourcen und potenziellen zusätzlichen Investitionen in Computerressourcen, unterstützt durch evidenzbasierte Vorschläge.
• Herausfordernde technische Arbeit: Möglichkeiten, mit großflächigen realen Malware-Datensätzen zu arbeiten und Produktions-ML-Systeme zu entwickeln, die sich entwickelnden Bedrohungen der Cybersicherheit begegnen.
• KI-unterstütztes Ingenieurumfeld: Zugang zu KI-Coding-Agenten und integrierten Entwicklungstools zur Unterstützung von Experimenten, Implementierungen und Zusammenarbeit.