金山网络安全实习生
任职要求
任职要求 能够使用 Python 或 Go 进行基本的程序开发，理解 API 的基本概念，具备阅读和调试他人代码的能力 有调用大语言模型 API（如 ChatGPT、Claude 等）的实际经验，了解 prompt engineering 的基本方法，使用过 LangChain、Dify 或 Coze 等 Agent 框架者优先 熟练使用 Cursor、Claude Code 或 GitHub Copilot 等 AI 编程工具，能够通过自然语言描述驱动 AI 完成代码编写并成功运行 了解 OWASP Top 10 的基本内容，使用过 B…
工作职责
岗位职责 • 参与 AI 辅助的安全测试工作，编写可实际利用的漏洞验证脚本（PoC），从实战角度验证安全风险 • 搭建和维护安全自动化流程，将重复性安全检查任务转化为自动化 pipeline • 利用 AI 辅助编程（vibe coding）快速构建安全工具原型，以提示词驱动的方式缩短开发周期 • 参与 AI Agent 在集团信息化场景中的落地实践，包括 Agent 驱动的安全测试、数据分析等 • 编写自动化脚本与工具，语言不限（Python / Shell 等）
我们正在持续构建面向阿里集团海量安全业务的网络安全大模型，系统性突破在代码理解、漏洞挖掘、攻击模拟等高复杂度场景中的算法瓶颈。当前通用大模型在安全语义对齐、长上下文程序分析、攻防策略推理等方面仍存在明显短板，制约了其在真实攻防业务中的深度落地。 我们诚邀具备扎实研究能力与工程实现经验的 RI（Research Intern）实习生，深入探索以下方向： 1. 代码 NL-PL 联合建模研究：研究自然语言（NL）与编程语言（PL）跨模态对齐与互译机制，探索面向项目级代码漏洞发现、修复、程序逆向、二进制分析等任务的长上下文代码理解与生成模型； 2. Cyber Attack Simulation 研究：构建面向渗透测试、红蓝对抗、漏洞利用链生成的攻击模拟智能体，探索基于 Agentic RL 的多步攻防策略学习与泛化机制； 3. 安全多模态推理研究：探索多模态推理（reasoning）机制在网页截图、技术文档、流量可视化图、二进制反汇编视图等高密度图文场景下，对关键/敏感信息提取与攻防意图理解能力的增强作用； 4. 安全领域大模型全流程训练：参与预训练、SFT、GRPO/PPO 及结合 Fuzz、反编译、漏扫等安全工具的 Agentic RL 训练，推动数据 Scaling、训练策略制定与性能优化； 5. 学术与工程双产出：将研究成果反哺至基模，提升其在漏洞识别、威胁情报提取、敏感数据检测、自动化渗透等场景中的实际能力，目标产出高质量学术论文（CVPR、ICML、ICLR、ACL、NeurIPS、IEEE S&P、USENIX Security、CCS、NDSS 等顶会）并推动技术落地。 该岗位将直接参与前沿 AI for Security 研究，为构筑公司在攻防领域的核心技术壁垒提供关键支撑，并对外产生学术与行业影响力。
岗位背景 我们正在建设面向工业领域（如智能制造、工业自动化、工业软件、OT/IT 融合等）的AI 知识库，用于后续的大模型训练、微调（Fine-tuning）及智能问答、知识推理等应 用。 本岗位将深度参与工业领域数据的收集、清洗、结构化与知识化过程，是 AI 产品从“概念”走向“可用”的关键环节。 工作职责 1. 工业领域数据收集 o 收集并整理工业相关资料，包括但不限于： § 技术白皮书、产品手册、标准规范（如 IEC、ISO、国家标准等） § 解决方案文档、用户案例、技术博客、学术/行业报告 o 覆盖领域示例： § 工业自动化、智能制造、数字化工厂 § 工业网络与通信协议（如 OPC UA、PROFINET、Modbus 等） § 工业信息安全 / OT Cybersecurity 2. 数据清洗与结构化 o 对收集的非结构化数据进行整理、去重、纠错、分类 o 按要求将数据整理为结构化格式（如 Markdown / JSON / 表格等） o 对内容进行章节拆分、要点提炼、术语统一 3. 知识标注与知识库构建支持 o 对数据进行基础语义标注（如主题、标签、行业、技术类型） o 协助构建 Q&A 数据、知识对（Instruction / Question–Answer） o 按 AI 训练需求整理高质量语料（适用于 RAG / LLM 微调） 4. 与研发/产品协作 o 与 AI 工程师配合，根据训练效果不断优化数据质量 o 理解“模型为什么答不好”，反推数据缺口或结构问题
核心安全职责： 深度参与公司核心业务系统的安全生命周期管理，主导并执行应用层的安全风险识别、威胁建模、安全方案设计与评审、代码审计（Code Review）以及渗透测试，确保安全风险在开发阶段得到有效控制。 安全工具链与平台建设： 负责规划、建设和持续优化公司级DevSecOps安全赋能平台。具体包括但不限于：集成和实施自动化代码安全扫描（SAST/SCA）、交互式应用安全测试（IAST）、运行时应用自我保护（RASP）、API动态/静态安全扫描、容器镜像安全扫描、第三方组件与开源软件供应链安全管理等，并将其无缝融入CI/CD流程。 安全开发赋能： 面向全公司研发团队，推广SDL（安全开发生命周期）与DevSecOps实践。负责设计并落地开发人员安全培训、编写安全编码规范、开发IDE安全插件等，提升整体研发团队的安全意识与能力。 安全技术研究与落地： 跟踪前沿应用安全技术（如云原生安全、微服务架构安全、API安全治理、软件供应链安全等），评估并推动新技术在公司业务场景中的试点与规模化落地，以应对新型安全威胁。 应急响应与协作： 参与安全事件应急响应，对应用层安全漏洞进行快速分析与处置。能够与产品、研发、测试、运维等跨职能团队高效协作，以清晰专业的沟通推动安全问题的闭环解决。
1.参与安全产品前后端开发，包括功能设计、接口开发、页面实现与系统集成 2.参与漏洞检测、资产管理、威胁分析、自动化运营、Agent 工具链等安全能力的工程化建设 3.参与技术方案设计、Code Review、测试与文档编写 4.保障所负责功能的稳定性、性能、可观测性与安全性 5.跟进安全领域的新技术、新工具和开源项目，并将合适能力落地到产品中