Gli attaccanti automatizzano. La maggior parte dei difensori compila checklist. Noi offriamo revisioni di sicurezza che si concludono con codice corretto, non con report in PDF: cerchiamo l'ingegnere in grado di condurle.
Gestirete la nostra pratica di revisione della sicurezza end-to-end: incarichi a perimetro fisso (2 settimane, prezzo fisso) su applicazioni web, API, infrastrutture cloud e integrazioni AI/LLM. Individuerete le vulnerabilità sfruttabili, le classificherete in base all'impatto reale, evitando i teatrini del CVSS, scriverete la correzione, la verificherete e consegnerete al cliente un sistema effettivamente più difficile da violare. Vi troverete a vostro agio in conversazioni sulla conformità senza trasformarvi in auditor: i clienti porteranno sul tavolo ISO 27001, NIS2 e SOC 2, e il vostro compito sarà mappare questi framework alla realtà tecnica, senza vendere loro documentazione inutile da lasciare sugli scaffali.
Le attività
- Condurre revisioni di sicurezza a perimetro fisso: recon, exploitation, risultati classificati per sfruttabilità, remediation, retest
- Violare specificamente sistemi AI/LLM: prompt injection, RAG poisoning, excessive agency, abuso di tool e agent, gestione insicura degli output, supply chain nelle pipeline dei modelli
- Scrivere e verificare le correzioni su tutto lo stack: scriverete codice, non vi limiterete alle scansioni
- Consigliare i clienti sulla preparazione per ISO 27001, NIS2 e SOC 2: quali controlli il loro prodotto soddisfa realmente, quali sono le lacune, cosa fare e in quale ordine
- Scrivere report in un linguaggio chiaro e direttamente azionabili da un CTO: prima i risultati, poi la mappatura dei framework
- Lavorare fianco a fianco con il nostro AI Engineer sui sistemi dei clienti e sulla nostra postura di sicurezza interna
I requisiti
- Esperienza pratica in sicurezza offensiva o applicativa su incarichi reali: vulnerabilità che avete trovato e violato, non corsi a cui avete partecipato
- Padronanza operativa della superficie di attacco AI/LLM: avete sfruttato o difeso sistemi integrati con LLM e sapete cosa va storto oltre i titoli della OWASP LLM Top 10
- Familiarità operativa con ISO 27001, NIS2 e SOC 2: sufficiente per mappare i risultati ai controlli e guidare un cliente verso la preparazione all'audit. Le certificazioni (ISO 27001 LA, CISSP, OSCP o simili) sono un plus, mai un sostituto
- Solide basi ingegneristiche: leggete fluentemente il codice in almeno due linguaggi e siete in grado di scrivere la correzione in autonomia (noi usiamo Go, Rust, TypeScript, Python)
- Scrittura chiara: risultati che un fondatore non esperto di sicurezza possa comprendere e che un CTO possa assegnare al team
- Residenza a San Marino o disponibilità al trasferimento
Perché RBB LAB
Team ristretto, composto solo da figure senior, servizio pacchettizzato: cicli di due settimane con perimetro fisso, risultati più correzioni più retest, zero lock-in. Lavorerete direttamente con i clienti (founder, CTO, product owner) e gestirete gli incarichi end-to-end. Il nostro background è l'infrastruttura di produzione: costruiamo e gestiamo sistemi blockchain (Mintlayer) e prodotti AI per le PMI, quindi avrete sempre sistemi reali da difendere, non esercizi di laboratorio.
Vi invitiamo a candidarvi tramite il modulo sottostante. Includete il vostro CV e una breve nota su una vulnerabilità che avete trovato e sfruttato prima di chiunque altro, descrivendo anche come è stata risolta.