이 자리가 왜 생겼을까요
당근은 2026년 4월 AI가 질문을 던지고 이용자가 음성으로 답하면 후기를 완성해 주는 '말로 쓰기' 기능을 전 업종으로 넓혔다고 밝혔습니다. 2025년 9월에는 게시글과 채팅, 동네인증, 휴대기기 정보를 종합해 사기 패턴을 감지하는 AI 에이전트를 도입했습니다. 이 공고의 보안팀은 그런 당근의 AI 기능을 공격자 관점에서 파고들어 프롬프트 인젝션과 도구 호출 조작 같은 취약점을 찾고, 설계 단계부터 보안 관점을 녹인다고 적었습니다. 사용자에게 나간 LLM 기능이나 에이전트를 직접 공격해 본 경험이 있다면 대상 기능과 기법, 고친 결과까지 지원서에 적어야 합니다.
당근이 지금 어떤 사업에 집중하고 있는지는 당근 채용 분석에서 이어서 볼 수 있습니다.
1하게 될 업무
당근의 AI 기능을 공격자 관점에서 집중적으로 파고들며 프롬프트 인젝션, 권한 오남용, 도구 호출 조작, 출력 처리 취약점 등 LLM·AI 에이전트 특화 공격 기법을 연구하고 적용합니다.
이렇게 볼 수 있어요
일반 웹 취약점이 아니라 모델과 에이전트에서 생기는 취약점이 대상입니다. 직접 시도한 공격 기법과 그것이 통한 조건을 기법별로 나눠 적으면 됩니다.
AI 기능에 대한 모의해킹·레드티밍 프로세스를 고도화하고 당근 환경에 맞는 진단 기준을 정의합니다.
이렇게 볼 수 있어요
진단을 수행하는 일에 더해 기준을 만드는 일까지 맡습니다. 진단 체크리스트나 판정 기준을 직접 만들어 봤다면 그 기준이 어떤 항목으로 이루어졌는지 설명할 수 있어야 합니다.
promptfoo, garak 등 LLM 보안 진단 자동화 도구를 활용·확장하고, 필요하면 직접 개발해 반복 가능한 AI 레드티밍 체계를 만듭니다.
이렇게 볼 수 있어요
같은 도구 이름이 업무와 우대 사항에 함께 나옵니다. 이 도구에 시나리오를 직접 추가해 돌려 본 경험이라면 저장소 링크로 바로 보여 줄 수 있습니다.
ML·프로덕트 조직과 함께 발견한 취약점의 근본 원인을 분석하고, AI 기능 설계 단계부터 보안 관점을 녹여 갑니다.
이렇게 볼 수 있어요
취약점 보고로 끝나지 않고 고치는 과정까지 함께합니다. 공고의 '팀 동료들의 한마디'도 보안팀이 다른 팀의 요청에 허용·거부로 답하기보다 기획 초기부터 파트너로 함께 방향을 찾으려 한다고 적었습니다.
2자격 요건
AI 보안이나 공격자 관점에서 LLM을 다뤄 본 경험이 필요합니다(실무 경력, 버그바운티, 개인 연구, CTF, 블로그 등 어떤 형태든 환영).
이렇게 볼 수 있어요
회사 업무가 아니어도 된다고 공고가 직접 적었습니다. 개인 연구나 CTF 기록도 이 요건의 경험으로 적을 수 있습니다.
LLM·AI 에이전트의 동작 원리(프롬프트 구조, 툴 호출, RAG, MCP 등)를 이해하고 공격 관점에서 해석할 수 있어야 합니다.
이렇게 볼 수 있어요
구성 요소 네 가지가 이름으로 적혀 있습니다. 요소마다 어떤 공격이 가능한지 예를 하나씩 들 수 있어야 '공격 관점에서 해석'한다는 조건과 맞습니다.
웹·앱·API 취약점에 대한 기본적인 이해와 진단 경험이 필요합니다.
이렇게 볼 수 있어요
AI 특화 공격과 함께 기존 웹·앱 진단 경험도 자격 요건에 있습니다. 웹 진단 경력이 있다면 진단한 서비스 수와 찾은 취약점 유형을 함께 밝혀야 합니다.
ML·프로덕트 조직과 파트너로서 소통할 수 있어야 합니다.
이렇게 볼 수 있어요
업무에 적힌 근본 원인 분석과 설계 단계 참여를 이 조직들과 함께합니다. 보안 요구사항을 개발 조직이 받아들이도록 조율한 경험을 예로 들 수 있습니다.
3우대 사항
새로운 AI 보안 이슈나 동향을 꾸준히 학습하고 공유해 본 경험을 우대합니다.
이렇게 볼 수 있어요
학습뿐 아니라 공유까지 우대 내용에 들어 있습니다. 사내 발표나 블로그 글처럼 남아 있는 기록은 링크를 함께 적어야 합니다.
promptfoo, garak 등 LLM 보안 진단 도구를 직접 사용·확장해 본 경험을 우대합니다.
이렇게 볼 수 있어요
업무 항목에 나온 도구와 같습니다. 확장해 봤다면 무엇을 더했는지까지 밝혀야 사용만 한 경험과 구분됩니다.
버그바운티, CVE 리포팅, 보안 컨퍼런스 발표 등 외부 활동 경험을 우대합니다.
이렇게 볼 수 있어요
공개된 CVE 번호나 발표 제목은 누구나 확인할 수 있는 기록입니다. 활동 이름과 시기를 목록으로 정리해 두세요.
ML 파이프라인(데이터 수집 → 학습 → 배포 → 모니터링)에 대한 이해를 우대합니다.
이렇게 볼 수 있어요
모델을 만들어 서비스하기까지의 네 단계가 적혀 있습니다. 단계마다 어떤 보안 위험이 생길 수 있는지 한 가지씩 정리해 두면 이 우대 사항에 맞춰 설명하기 쉽습니다.
클라우드(AWS, GCP 등) 기본 구조에 대한 이해를 우대합니다.
이렇게 볼 수 있어요
공고의 '팀 동료들의 한마디'에서 현직 엔지니어는 클라우드, 보안 솔루션, 다양한 서비스 등 여러 환경을 접한다고 적었습니다. 클라우드 권한이나 네트워크 설정을 점검해 본 경험이 여기에 맞습니다.
Docker, Kubernetes 등 컨테이너 환경 경험을 우대합니다.
이렇게 볼 수 있어요
컨테이너로 배포한 서비스를 운영해 본 경험과 점검해 본 경험이 모두 이 항목의 대상입니다. 맡은 역할이 어느 쪽이었는지는 나눠 적으면 됩니다.
4기타 사항
- 게시일 : 2026년 3월 6일
- 고용형태 : 정규직(수습 3개월)
- 근무지 : 서울특별시 서초구 강남대로 465, 교보강남타워 11층 (추정)
- 경력 조건 : 해당 내용은 원본 공고에서 확인되지 않습니다.
- 학력 조건 : 해당 내용은 원본 공고에서 확인되지 않습니다.
쓰는 기술
공고 본문에 적힌 기술만 모은 목록입니다.
- promptfoo
- garak
- LLM
- RAG
- MCP
- AWS
- GCP
- Docker
- Kubernetes
전형과 지원
채용 FAQ가 밝힌 정규직 기준 일반적인 전형은 여섯 단계이고 단계마다 결과 통보에 걸리는 기간까지 공개돼 있습니다. 포지션에 따라 절차가 달라 공고마다 확인해야 합니다. 재지원 규칙이 단계마다 달라서 지원 순서를 정할 때 먼저 볼 부분입니다.
여섯 단계
일반적인 순서는 서류, 화상 인터뷰, 과제, 직무 인터뷰, 컬처핏 인터뷰와 레퍼런스 체크, 처우 협의이고 포지션에 따라 다릅니다. 결과 통보는 서류가 영업일 7일 이내, 화상과 직무 인터뷰가 5일 내외, 컬처핏 단계가 10일 내외입니다. 과제는 "5일 또는 7일 이내 작성 가능한 분량"이고 별도 전형으로 있기도 하고 인터뷰에 함께 출제되기도 합니다.
이렇게 볼 수 있어요
각 단계의 대기 기간이 공개돼 있으므로 다른 회사 일정과 겹쳐 볼 수 있습니다. 서류부터 최종까지 한 달이 넘게 걸린다고 보고 움직이는 편이 안전합니다.
컬처핏 뒤에는 1년
서류와 화상 인터뷰, 직무 인터뷰 단계에서 떨어지면 같은 공고에 6개월 뒤 다시 지원할 수 있고 다른 공고는 제한이 없습니다. 컬처핏 인터뷰 이후에는 모든 공고에 1년간 지원할 수 없습니다. 회사는 컬처핏 기준이 전 공고 공통이기 때문이라고 밝혔습니다.
이렇게 볼 수 있어요
마지막 단계의 실패 비용이 다른 단계보다 훨씬 큽니다. 인재상 다섯 가지에 각각 대응하는 사례를 하나씩 준비해야 하는 이유가 여기에 있고, 여러 공고를 염두에 두고 있다면 더욱 그렇습니다.
이력서 형식
자유 형식이고 PDF를 권장합니다. 채용 FAQ는 hwp와 word를 호환 문제로 지양해 달라고 하고 zip은 받지 않으며, 웹 링크는 이력서나 포트폴리오 파일에 첨부하라고 적었습니다.
이렇게 볼 수 있어요
형식을 정해 두지 않았으므로 양식을 맞추는 데 시간을 쓸 필요가 없습니다. 대신 자유 형식에서는 무엇을 강조할지가 온전히 지원자의 선택이라 공고의 업무 목록에 적힌 일을 해 본 경험을 자세히 적는 편이 낫습니다.
복수 지원과 그 밖의 규칙
정규직은 전부 상시 채용이고 복수 지원이 가능하며 공고별로 평가자와 기준이 달라 각각 진행됩니다. 나이와 학력 제한이 없습니다. 공고에는 입사 후 3개월 수습이 적혀 있습니다.
이렇게 볼 수 있어요
공고마다 절차가 따로 도는 구조라 두 곳에 지원하면 일정이 서로 어긋날 수 있습니다. 다만 컬처핏 단계까지 간 공고가 하나라도 있으면 그 결과가 나머지에 영향을 주므로 순서를 생각해 둘 필요가 있습니다.
지원 전 준비할 것
- 1
공격해 본 AI 기능 목록 만들기
자격 요건은 실무, 버그바운티, 개인 연구, CTF, 블로그 어떤 형태의 경험이든 환영한다고 적었습니다. 공격해 본 대상과 쓴 기법, 결과를 표로 정리하고 공개된 기록에는 링크를 붙여 둡니다.
- 2
기법별 공격과 방어를 한 장으로 정리하기
업무에 적힌 프롬프트 인젝션, 권한 오남용, 도구 호출 조작, 출력 처리 취약점마다 공격 예시와 설계 단계에서 막을 방법을 한 장으로 정리하면 직무 인터뷰에서 바로 쓸 수 있습니다.
- 3
보안팀 소개 글 읽어 두기
공고 아래 연관 콘텐츠에 '당근 보안팀을 소개합니다' 글이 걸려 있습니다. 팀이 다른 조직과 일하는 방식을 미리 읽고, 개발 조직과 함께 취약점을 고친 사례를 하나 준비해 둡니다.