Senior Security Software Engineer, v0

Über Vercel: Vercel ist das agentische Infrastrukturunternehmen. Wir befreien Menschen und Agenten, um das Nächste zu versenden. Seit mehr als einem Jahrzehnt hat Vercel geprägt, wie das Web gebaut wird. Als das Team hinter Next.js, v0 und AI SDK schaffen wir Produkte, die Entwicklern helfen, von der Idee bis zur Produktion mit Geschwindigkeit, Sicherheit und außergewöhnlicher Entwicklererfahrung zu gelangen.

Über die Rolle: v0 verwandelt natürliche Sprache in funktionierende, bereitgestellte Anwendungen. Ein Agent schreibt Code, führt ihn aus und versendet ihn im Namen eines Benutzers. Das macht v0 zu einer der interessantesten und risikoreichsten Sicherheitsoberflächen bei Vercel: sandboxed Codeausführung, Multi-Tenant-Isolation, Berechtigungsgrenzen zwischen dem, was ein Benutzer angefordert hat, und dem, was der Agent tatsächlich getan hat, sowie Widerstand gegen Eingabeaufforderungsinjektion und Werkzeugmissbrauch.

Wir suchen einen Senior (IC4) Software-Ingenieur mit starkem Sicherheitsbackground, der vollständig im v0-Team eingebettet ist, nicht als rotierender Auditor, der Designs überprüft und Tickets erstellt, sondern als Peer-Ingenieur, der die Sicherheit von Anfang bis Ende für alles, was v0 versendet, verantwortet. Das bedeutet, dass Sie selbst Schwachstellen finden und beheben, Sicherheitsfunktionen direkt in das Produkt integrieren, jede neue Funktion und jeden Launch überprüfen, bevor sie veröffentlicht wird, und die Beziehung zu unserer HackerOne-Forscher-Community für alles, was mit v0 zu tun hat, pflegen.

Was Sie tun werden:

• Finden und beheben Sie Probleme selbst: Proaktiv nach Schwachstellen in v0 suchen, vom Code, den Sie überprüfen, bis zu Systemen, die Sie aktiv untersuchen, und die Lösung versenden, nicht nur das Finden.
• Sicherheitsfunktionen direkt in das Produkt integrieren: Entwerfen und implementieren Sie die sicherheitsrelevante Funktionalität selbst (Sandboxing/Isolationskontrollen, Berechtigungsgrenzen, Missbrauchserkennung, sichere Standards für generierte Apps) als normalen Teil des v0-Roadmaps, nicht als Nebenprojekt.
• Alle neuen v0-Funktionen und -Launches überprüfen: Seien Sie der Sicherheitsprüfer für alles, was das Team versendet (neue Funktionen, generierte App-Muster, Integrationen), bevor es das Haus verlässt.
• Die HackerOne-Beziehung für v0 besitzen: Berichte von Vercels HackerOne-Forscher-Community, die v0 betreffen, triagieren, validieren und Lösungen vorantreiben und direkt mit Forschern an Reproduktion und Behebung arbeiten.
• Das v0-Bedrohungsmodell besitzen: Verstehen und kontinuierlich verfeinern, wie v0 Code generiert, ausführt und bereitstellt, einschließlich Sandbox-/Laufzeitsisolierung, Berechtigungsgrenzen zwischen Agentenaktionen und Benutzerabsicht sowie Abwehrmaßnahmen gegen Eingabeaufforderungsinjektion und Werkzeugmissbrauch.
• Grenzen der Codeausführung absichern: Direkt daran arbeiten, wie agentengenerierter Code eingeschränkt, sandboxed und begrenzt wird, bevor er echte Infrastruktur berührt, einschließlich Vercels eigener Sandbox und serverloser Laufzeiten.
• Schutzmaßnahmen erstellen, die das Team nicht verlangsamen: Muster, Bibliotheken und Prüfungen erstellen, die es v0-Ingenieuren ermöglichen, neue generierte App-Funktionen schnell zu versenden, ohne bekannte Fehlerklassen (Auth, SSRF, Injektion) jedes Mal wieder einzuführen.
• Mit zentraler Produktsicherheit zusammenarbeiten: Bedrohungsmodelle, Vorfalllernerfahrungen und SDLC-Tools mit dem breiteren Sicherheitsteam teilen, während Sie die endgültige Entscheidung über v0-spezifische Trade-offs treffen, da Sie den tiefsten Kontext zum Produkt haben.
• Auf v0-spezifische Sicherheitsberichte und Vorfälle reagieren: Der erste Ansprechpartner und technische Eigentümer sein, wenn ein Sicherheitsproblem speziell gegen v0 gemeldet wird.
• Wie ein Angreifer und wie ein Agent denken: Überlegen, wie ein Benutzer oder ein Agent, der im Namen dieses Benutzers handelt, v0 missbrauchen könnte, um sich selbst, andere Mieter oder die zugrunde liegende Plattform anzugreifen.

Sie sind zuerst ein Software-Ingenieur: 5+ Jahre Erfahrung im Aufbau und Versand von Produktions-Webanwendungen auf einem Niveau, auf dem Sie unabhängig arbeiten (IC4/Senior). Sie können ein normales Feature-Ticket aufnehmen und es von Anfang bis Ende versenden, dies ist keine reine Audit-/Überprüfungsrolle.

Starke Full-Stack-Grundlagen: Sicher im Umgang mit TypeScript, React und Node und in der Lage, im selben Codebase, PR-Flow und Tempo wie der Rest des v0-Teams zu arbeiten.

Echte Sicherheitsurteile: Sie verstehen AuthN/AuthZ-Design, Sandboxing und Isolation, Klassen von Injektionsanfälligkeiten und können über "einen KI-Agenten, der Code schreibt und ausführt" als neuartige Angriffsfläche nachdenken, auch wenn Ihr Hintergrund bisher hauptsächlich Softwareengineering war und nicht eine Sicherheitsbezeichnung.

Sie beeinflussen durch Code, nicht nur durch Prozesse: Sie würden lieber die Grundursache in einem PR beheben, als ein Richtliniendokument darüber zu schreiben. Sie können das Sicherheitsbewusstsein eines schnelllebigen Teams sein, ohne dessen Engpass zu werden.

Komfortabel mit Unklarheiten: Das Bedrohungsmodell von v0 wird noch geschrieben. Sie sind begeistert, es zu definieren, anstatt ein reifes Handbuch zu übernehmen.

Bereit, mit v0 zu bauen, nicht nur es zu sichern: Sie sind glücklich, tatsächlich v0 zu verwenden, um Dinge zu bauen und zu verstehen, wie unsere Produkte von Anfang bis Ende funktionieren, nicht nur den Code von außen zu lesen.