Purple Team Security Engineer
São Paulo • Tempo integral • Híbrido
Ataque e defenda a Nova, a rede de pagamentos com IA construída sobre Pix e Open Finance: emule adversários, transforme achados em detecções e proteja nossos agentes de IA. Reporta-se ao Head de Engenharia.
Sobre a Nova
A Nova está construindo uma rede de pagamentos de nova geração, com IA sobre o Pix e o Open Finance. Com investimento de Monashees, Canary, Canaan e Propel, levantamos recentemente uma grande rodada Série A e estamos montando um time pequeno de pessoas excepcionais.
Saiba mais sobre nós
A função
Reportando-se ao Head de Engenharia, você vai atacar e defender a rede de pagamentos da Nova, trabalhando em estreita colaboração com os fundadores e com os engenheiros responsáveis por cada serviço. Você vai emular os adversários que miram fintechs brasileiras, transformar cada achado em uma detecção ou um controle e proteger os agentes de IA que executam ações autenticadas nas contas dos clientes.
O que você fará
- Construa e ajuste detecções como código em toda a nossa telemetria de cloud, Kubernetes, aplicação e pagamentos, com cobertura acompanhada pelo MITRE ATT&CK
- Execute emulação de adversários contra nossos próprios sistemas: account takeover, identidade sintética, race conditions entre autorização e captura, abuso de replay e idempotência
- Faça red teaming dos nossos agentes de IA e funcionalidades com LLM (prompt injection, abuso de ferramentas, exfiltração de dados) e desenhe guardrails para ações autenticadas de IA
- Fortaleça a plataforma: IAM com menor privilégio, gestão de segredos, segmentação de rede, controles de CI/CD e supply chain, e um threat model para cada novo serviço
- Lidere a resposta a incidentes de ponta a ponta e mapeie nossos controles para os requisitos de PCI DSS, LGPD e Banco Central à medida que avançamos rumo às nossas próprias licenças
- Ensine e multiplique: faça pair com engenheiros, conduza exercícios de tabletop e torne o caminho seguro o caminho mais fácil
O que buscamos
- Mais de 5 anos em engenharia de segurança dos dois lados: atuação ofensiva e construção ou operação de detecção e resposta
- Experiência prática protegendo ou atacando sistemas baseados em LLM; você conhece o OWASP Top 10 for LLM Applications e o MITRE ATLAS
- Domínio de Python e Bash e capacidade de entregar código de produção em uma linguagem compilada (usamos Go; Go não é obrigatório)
- Experiência prática com segurança em AWS, Kubernetes e APIs, e em liderar resposta a incidentes em sistemas que lidam com dinheiro ou dados de clientes
- Você utiliza IA diariamente no seu trabalho
- Diferencial: experiência em fintech ou pagamentos no Brasil, processos de PCI DSS ou Banco Central, OSCP/OSEP/GCIH ou histórico público (CVEs, bug bounty, palestras)
Processo seletivo
Triagem de RH (15 min) → Introdução com gestor da vaga (30 min) → Deep dive (60 min) → Bar raiser (45 min) → Fit cultural com nosso CEO (30 min)
O que oferecemos
- Contrato PJ
- Stock options agressivas
- Plano de saúde premium, horários flexíveis, férias remuneradas e Wellhub