Stage – Conception d’un assistant agentique pour l’investigation forensique et l’analyse des causes racines d’incidents cyber

Durée du stage : 6 mois
Date de démarrage envisagée : fevrier 2027
Localisation du poste : Palaiseau (91)
Gratification : 1200 € net mensuel
Référence de l’offre à mentionner dans l’objet dans votre e-mail de candidature : STAGE-2027-13-SCIFER

Contexte du stage

Au sein de l’Institut de Recherche Technologique SystemX, situé au cœur du campus scientifique d’excellence mondiale de Paris-Saclay, vous participerez au développement d’un centre de recherche technologique international de pointe dans l’ingénierie numérique des systèmes. Vous serez intégré(e) à l’équipe « Sécurité numérique et réseaux » et travaillerez dans le cadre du projet européen SCIFER [X], en partenariat avec plusieurs acteurs industriels (Telefonica, AEGIS, ADRIAFER RAIL SERVICES, MAGGIOLI, etc). Le stage s’inscrit dans les travaux portant sur la réalisation d’une plateforme agentique dédiée à l’investigation forensique et à l’analyse des causes racines (Root Cause Analysis – RCA) des incidents de cybersécurité. La plateforme vise à combiner des outils de référence du domaine Digital Forensics and Incident Response (DFIR) avec des mécanismes d’orchestration, d’intelligence artificielle générative, de raisonnement agentique et de représentation des connaissances afin d’assister les analystes dans la compréhension d’incidents cyber complexes. Compte tenu du caractère européen du projet, le candidat ou la candidate sera également amené(e) à participer à des réunions techniques et scientifiques avec les partenaires du consortium, à présenter l’avancement de ses travaux et à échanger sur les choix techniques et les résultats obtenus. La langue de travail lors de ces échanges sera principalement l’anglais.

Présentation du sujet

Une investigation forensique complète nécessite pourtant la collecte, l’analyse et la corrélation de volumes importants de données provenant de sources hétérogènes : artefacts systèmes, journaux d’événements, mémoire vive, images disque, traces réseau, indicateurs de compromission ou encore informations issues de plateformes de renseignement sur les menaces. Des outils spécialisés tels que Velociraptor, Volatility ou Autopsy permettent aujourd’hui d’automatiser une partie importante de la collecte et de l’analyse technique. Cependant, l’investigation reste largement dépendante de l’expertise humaine pour déterminer les analyses pertinentes, mettre en relation les différents éléments de preuve, formuler des hypothèses et reconstruire la chaîne de compromission. Cette fragmentation des outils et des sources de données peut conduire à des investigations longues et fortement dépendantes de quelques analystes expérimentés. La quantité d’informations à examiner entraîne également une charge cognitive importante, alors même que les données disponibles peuvent être incomplètes, bruitées ou contradictoires. Dans ce contexte, l’émergence des Large Language Models (LLM), des architectures Agentic AI, des Knowledge Graphs et des mécanismes modernes d’orchestration ouvre la voie à une nouvelle génération d’assistants capables d’accompagner activement les analystes au cours d’une investigation. Dans ce contexte, la résilience cyber des infrastructures maritimes ne se limite plus à protéger les systèmes critiques (radars, AIS, caméras, capteurs), mais doit aussi intégrer la quantification des impacts économiques et environnementaux pour mieux éclairer les décisions stratégiques des acteurs (armateurs, gestionnaires portuaires, autorités publiques).

Objectifs du stage

Le stage a pour objectif de concevoir, développer et évaluer une première architecture fonctionnelle permettant de mettre en œuvre une investigation forensique assistée par une intelligence artificielle agentique. Les principaux objectifs sont les suivants :

• Modéliser une investigation forensique afin de représenter de manière structurée les observations, les éléments de preuve, les entités impliquées, les hypothèses et les conclusions ;
• Automatiser l’orchestration d’outils DFIR afin de permettre à un agent de déclencher dynamiquement les analyses appropriées selon le contexte de l’investigation ;
• Développer des mécanismes de génération et de validation d’hypothèses, permettant à l’agent de proposer différentes explications puis de rechercher les éléments nécessaires pour les confirmer ou les réfuter ;
• Structurer les connaissances de l’investigation sous forme de graphe, afin de représenter les relations entre machines, utilisateurs, processus, fichiers, connexions réseau, événements de sécurité, vulnérabilités et techniques d’attaque ;
• Explorer des mécanismes d’analyse causale permettant de passer d’une simple chronologie d’événements à l’identification des causes racines et des facteurs contributifs de l’incident ;
• Garantir la traçabilité des conclusions produites par l’IA, en distinguant explicitement les faits observés, les hypothèses, les inférences et les conclusions.

Missions

Les missions confiées au candidat ou à la candidate retenue sont les suivantes :

1)État de l’art

• Étudier les approches existantes d’automatisation et d’assistance à l’investigation dans le domaine Digital Forensics and Incident Response.
• Étudier l’utilisation des LLM et systèmes multi-agents pour la planification, le raisonnement et l’utilisation dynamique d’outils.
• Analyser les approches de représentation des connaissances applicables aux investigations cyber : Knowledge Graphs, Evidence Graphs, Attack Graphs et Causal Graphs.
• Étudier les méthodes de Root Cause Analysis et de raisonnement causal pouvant être appliquées aux incidents de cybersécurité.
• Identifier les risques associés à l’utilisation de l’IA générative dans un contexte forensique : hallucinations, interprétation erronée des preuves, provenance des données, prompt injection et perte de traçabilité.

2)Conception et développement

• Proposer une architecture agentique permettant d’orchestrer les différentes étapes d’une investigation
• Développer sous n8n des workflows permettant à CAIRINA d’interagir avec plusieurs outils DFIR.
• Intégrer progressivement des outils tels que Velociraptor, Volatility et Autopsy.
• Développer des mécanismes d’enrichissement des observations à partir de MISP et MITRE ATT&CK.
• Définir un modèle de données permettant de représenter les preuves, observations, hypothèses et relations entre les différentes entités de l’investigation.
• Concevoir et implémenter un graphe d’investigation / Forensic Knowledge Graph.

3)Valorisation et collaboration dans le cadre du projet européen

• Présenter régulièrement l’avancement des travaux à l’équipe de recherche de l’IRT SystemX.
• Contribuer aux échanges scientifiques et techniques avec les partenaires européens du projet.
• Participer aux réunions de travail et, lorsque pertinent, aux démonstrations ou sessions techniques du consortium.
• Contribuer à la documentation technique et scientifique des travaux réalisés.

Références bibliographiques

• Chernyshev, Z. A. Baig, N. Syed, R. Doss, and M. Shore, “Large language models in digital forensics: capabilities, challenges and future directions,” Forensic Science International: Digital Investigation, vol. 56, Art. 302043, 2026, doi: 10.1016/j.fsidi.2025.302043.
• Wickramasekara, F. Breitinger, and M. Scanlon, “Exploring the potential of large language models for improving digital forensic investigation efficiency,” Forensic Science International: Digital Investigation, vol. 52, Art. 301859, 2025, doi: 10.1016/j.fsidi.2024.301859.
• Sharma, J. Ghawaly, K. McCleary, A. M. Webb, and I. Baggili, “ForensicLLM: A local large language model for digital forensics,” Forensic Science International: Digital Investigation, vol. 52, Supplement, Art. 301872, 2025, doi: 10.1016/j.fsidi.2025.301872.
• Kshetri, “Transforming cybersecurity with agentic AI to combat emerging cyber threats,” Telecommunications Policy, vol. 49, no. 6, Art. 102976, 2025, doi: 10.1016/j.telpol.2025.102976.
• Zhao, R. Jiang, Y. Han, A. Li, and Z. Peng, “A survey on cybersecurity knowledge graph construction,” Computers & Security, vol. 136, Art. 103524, 2024, doi: 10.1016/j.cose.2023.103524.

Profil et compétences

De formation : BAC +5 / école d’ingénieur ou université, dans le domaine de la sécurité numérique / cybersécurité, télécommunication.

Compétences souhaitées 

• • Bonnes compétences en programmation, notamment en Python
  • bonnes connaissances en cybersécurité, systèmes et réseaux
  • connaissance des problématiques de Digital Forensics / Incident Response
  • notions sur les LLM, IA générative ou architectures multi-agents
  • la connaissance de MITRE ATT&CK et/ou MISP serait appréciée
  • une expérience avec Velociraptor, Volatility, Autopsy ou d’autres outils DFIR serait un plus

Aptitudes personnelles

• Curiosité scientifique et technologique
• Autonomie et capacité d’apprentissage
• Esprit d’analyse et rigueur
• Goût pour l’expérimentation
• Capacité à travailler en équipe
• Bon relationnel et aptitude au travail collaboratif
• Capacité à présenter et défendre des choix techniques

Merci de joindre CV, lettre de motivation, relevé de notes et autres documents utiles comme une lettre de recommandations.