為什麼這個領域重要

2026 年 7 月 19 日對公開招募 API 的一次掃描抓到了清楚的訊號：17 家頭部成長型公司的 105 筆最新職缺裡，Discord、Gusto、Ramp、Replit、Brex、Cursor 同時在找資安工程師。細分方向各不相同：Brex 找應用程式安全，Ramp 找端點安全，Replit 找弱點管理與反濫用。Cursor 更直接開出「Agent & Product Security」工程經理的職缺，這個頭銜在 18 個月前幾乎不存在。這些公司都站在建立專職 CISO 組織的前一步，它們要的是能在產品程式碼庫內部設計安全的人，而不是在外部寫稽核報告的人。

推力來自 AI 代理。Check Point 於 7 月 14 日發布的 AI Security Report 2026 測得，惡意酬載偵測量在 2026 年 3 月到 5 月之間成長約 5 倍；把指令藏進代理讀取的文件與網頁裡的間接提示注入，已經從實驗室話題變成實戰攻擊手法。模型並不總能分辨資料與指令。產品裡的代理拿到的工具與權限越多，攻擊面就越是延伸到自家程式碼之外。

市場數字指向同一個方向。Mordor Intelligence 預估全球應用程式安全市場將從 2026 年的 148 億美元成長到 2031 年的 281 億美元，年複合成長率 13.6%。台灣的座標則掛在供應鏈上：台積電主導的 SEMI E187 標準把資安要求往整條半導體設備供應鏈壓下去，《資通安全管理法》覆蓋關鍵基礎設施，接單的軟體與設備廠商必須自己養得起懂產品安全的工程師才能過客戶稽核。這股壓力正從硬體大廠一路傳導到新創。

先劃一條界線：這個專精不同於隱私與信任安全(T&S)工程。T&S 處理的是使用者行為與內容濫用，例如假帳號、有害內容、年齡驗證；產品安全攔截的是程式碼與架構層級的攻擊，例如注入、提權、資料外洩路徑。兩類職缺幾乎總是分開刊登，面試考的也是不同的肌肉。

所需技能

產品安全工程師是建造者，不是稽核員。工作不在送出弱點報告時結束，而在修補上線、同類漏洞無法再現時才結束。

應用程式安全基本功

• 不是背 OWASP Top 10，而是在自己負責的服務程式碼裡親手找到並修掉過 IDOR、SSRF、認證繞過
• 認證與授權設計：OAuth 2.0、OIDC、工作階段管理、權杖生命週期
• 金鑰衛生：清除硬編碼金鑰，接上 Vault 或 KMS，自動化輪替

AI 時代的新攻擊面

• 提示注入防禦：分辨直接與間接注入，設計輸入輸出驗證層
• 代理權限邊界：工具呼叫允許清單、沙箱執行、最小權限原則的代理版本
• RAG 管線投毒因應：把一切外部文件當作信任邊界之外的輸入來設計

安全 SDLC 建置

• 能放進一個衝刺週期而不是卡住衝刺的輕量威脅建模流程
• 把 SAST、DAST、相依性掃描、金鑰掃描接進 CI，並實際管住誤報量的營運手感
• 事件應變：稽核日誌設計、異常告警、應變手冊與演練

說服力

• 把資安需求翻譯成產品語言，讓開發團隊自己動起來。對成長型公司的第一位資安工程師來說，這件武器和程式碼同樣重要。

職業路徑

初階階段 (0~3 年) 從後端或全端起步，主動認領沒人想碰的資安工單，是最快的入場路線。公司有資安冠軍(Security Champion)機制就報名；沒有就自己創造小勝利，例如清理相依性弱點、導入金鑰掃描。在 HITCON 這類社群或 CTF 累積名次，或交出幾份被採納的漏洞回報，仍然是履歷上證明實戰手感最便宜的方式。

中階階段 (3~6 年) 成長型公司「第一位資安工程師」的位置就開在這個區間。以 2026 年 7 月的實測職缺為例：Ramp 的端點安全資深工程師開出 $172K~$236K，Replit 的弱點管理工程師開出 $210K~$270K。這個階段的核心是全端資安能力：一個人跑完威脅建模、搭好掃描管線、說服開發團隊。供應鏈稽核經驗在台灣是額外的加分項，再疊上代理安全的實戰經驗，稀缺性會快速拉高。

資深與領導階段 (6 年以上) 走到為公司設計第一個資安組織的位置。Cursor 的 Agent & Product Security 工程經理、Discord 的 Safety 工程總監展示了管理線的樣貌，再往上是 CISO 路線。AI 基礎設施正在變成重工業(The Atlantic 2026 年 7 月關於資料中心建設的報導描繪了這個背景)，要守護的資產越滾越大，守護者的談判力也跟著水漲船高。