Ingeniero de ML Sénior - Detección de Malware

• Enfoque en el desarrollo profesional.
• Proyectos interesantes y desafiantes.
• Trabajo totalmente remoto con horario flexible, que te permite organizar tu día y trabajar desde cualquier lugar del mundo.
• 24 días de vacaciones pagadas al año, 10 días de festivos nacionales y bajas por enfermedad ilimitadas.
• Compensación para seguro médico privado.
• Reembolso de coworking y gimnasio/deportes.
• Presupuesto para formación.
• La oportunidad de recibir una recompensa por la idea más innovadora que la empresa pueda patentar.

Imunify360 es la suite de seguridad de CloudLinux para servidores web Linux: escaneo de malware en tiempo real y en segundo plano, limpieza automatizada, un WAF, protección de PHP en tiempo de ejecución (Proactive Defense), un escáner de malware en bases de datos y reputación de IP. Se ejecuta en los servidores compartidos, VPS y dedicados de los proveedores de hosting, por lo que las nuevas campañas de malware web llegan a nuestra flota de forma temprana.

Contamos con uno de los corpus etiquetados más grandes de malware de servidores web en vivo de la industria: archivos, veredictos, resultados de limpieza y decisiones de analistas recopilados de servidores de hosting en producción cada día. Esto ya impulsa nuestras firmas, heurísticas y modelos de ML, y hay mucho más que extraer de ello. Buscamos un Senior ML Engineer que convierta esos datos en detecciones que se implementen —clasificadores, triaje asistido por LLM y firmas generadas— y que siga explorando nuevos métodos de ML/LLM contra ello, medido por las tasas de falsos negativos y falsos positivos del producto, no por la precisión en el notebook.

Nuestro conjunto de datos se centra en el malware web: PHP, JavaScript, kits de phishing en HTML, plugins y temas de WordPress y Joomla infectados, inyecciones en bases de datos, junto con el contexto de cada archivo.

El objetivo es detectar 10 veces más malware con la misma tasa de falsos positivos o una inferior. Las reglas escritas a mano y los pipelines más rápidos no llegarán allí; los modelos entrenados con nuestros datos podrían lograrlo.

• Decidir qué archivos en un servidor merecen una inspección más cercana, dentro de presupuestos ajustados de CPU y memoria
• Distinguir el código malicioso del benigno a escala de flota y con un coste razonable por archivo
• Generar firmas de detección automáticamente a partir de nuevas campañas
• Detectar malware que solo parece malicioso en contexto, como páginas de phishing e inyecciones de scripts
• Enrutar cada archivo al motor de detección correcto
• Hacer que la limpieza sea precisa para que los sitios permanezcan limpios después
• Demostrar que cada modelo mejora la detección antes de su implementación

• Muestras de malware de servidores de producción, con veredictos y decisiones de analistas
• Años de firmas y reglas de detección
• Falsos negativos y falsos positivos reportados por clientes
• Comportamiento del código en tiempo de ejecución en sitios en vivo
• Tráfico de ataques web
• Metadatos de archivos y cómo se propagan los archivos entre servidores
• Resultados de la limpieza, incluyendo lo que volvió a aparecer

Tendrás una vía de experimentación, GPUs y una línea directa con el liderazgo; a cambio, aportarás números, no opiniones.

• Remote-first, asíncrono entre UTC−5 y UTC+8. Las decisiones se documentan (ADR-Lite) y son públicas por defecto.
• El hardware sigue a la evidencia: Cada dirección de entrenamiento comienza con GPUs dedicadas en nuestro propio bare metal; el liderazgo se ha comprometido a financiar más cuando se presente el caso con datos.
• Ingeniería agéntica: Claude y Codex son las herramientas por defecto, conectadas a GitLab, Jenkins, Redash, Jira y Slite a través de servidores MCP. Nos fijamos en cómo los ingenieros trabajan con agentes —contexto, especificidad, calidad de la revisión— no solo en el resultado.
• Cerca de la realidad (ground truth): Trabajarás a diario con analistas de malware, ingenieros de detección e infraestructura y el resto de nuestro equipo de ML.
• Puertas de implementación (ship gates): Ningún modelo o build sale si genera falsos positivos o falsos negativos en nuestros conjuntos de errores pasados. Post-mortems sin culpabilidad en un plazo de 24 horas.

Serás responsable del camino desde las muestras brutas hasta un modelo en producción, y de los números que demuestren que ha ayudado.

• Primer mes: Un primer modelo entrenado con datos de producción y medido frente a los motores actuales: triaje de archivos sospechosos o un modelo de metadatos. El entorno de evaluación implementado: divisiones por tiempo y campaña para que las familias no se filtren, y un conjunto de regresión de FPs y FNs pasados.
• Para el mes 3: Varios modelos en producción: algunos en modo sombra acumulando evidencia, otros en vivo produciendo detecciones reales, todos controlados con el conjunto de regresión de errores pasados. Una configuración de entrenamiento que mantenga sus GPUs ocupadas. Una propuesta escrita (ADR) para la cascada de detección, con coste por archivo y necesidades de hardware.
• Para el mes 12: Los modelos son una fuente principal de nuevas detecciones, reportadas como porcentaje de las nuevas detecciones y tendencia de la tasa de FN. Reentrenamiento con etiquetas frescas de analistas y FN con una cadencia fija. Firmas generadas dentro del flujo de trabajo del analista. Dos o tres direcciones de entrenamiento paralelas que otros ingenieros puedan ejecutar con tus herramientas.