Stage – Corrélation auto-supervisée de télémétries pour reconstruire des incidents multi-étapes

Durée du stage : 6 mois
Date de démarrage envisagée : février 2027
Localisation du poste : Palaiseau (91)
Gratification : 1200 € net mensuel
Référence de l’offre à mentionner dans l’objet dans votre e-mail de candidature : STAGE-2027-09-CYBELIA

Contexte du stage

Au sein de l’Institut de Recherche Technologique SystemX, situé au cœur du campus scientifique de Paris-Saclay, vous prendrez une part active aux travaux de recherche en ingénierie numérique des systèmes menés avec des partenaires industriels et académiques.

Vous serez encadré par un ingénieur-chercheur SystemX spécialisé en cybersécurité et intelligence artificielle. Elies GHERBI / Elies.gherbi@irt-systemx.fr .

Vous travaillerez dans le programme CYBELIA, au sein du chantier 2 : SOCRATES consacré à l’analyse avancée des données de sécurité, à la détection et au triage pour les opérateurs SOC. Le programme vise des solutions de cybersécurité augmentée adaptées aux contraintes industrielles. Page du programme : https://www.irt-systemx.fr/programme-cybelia-cybersecurite-augmentee-pour-lindustrie/

Le poste est basé à l’IRT SystemX – site:   Palaiseau.

Présentation du sujet

Objectifs du stage 

Concevoir une méthode capable de corréler des alertes, des journaux système et des événements réseau afin de reconstruire des incidents cohérents, y compris lorsque plusieurs attaques se chevauchent dans un flux bruité.

Question scientifique : comment apprendre une représentation commune de télémétries hétérogènes et regrouper en ligne les événements liés à un même incident sans dépendre uniquement d’une fenêtre temporelle fixe ?

Missions 

• Réaliser un état de l’art sur le regroupement d’alertes, l’apprentissage auto-supervisé sur les logs, les graphes temporels et la reconstruction de chemins d’attaque.
• Normaliser et aligner les sources disponibles dans SOCRATES, puis apprendre des représentations d’événements exploitant le contenu, la source, le temps et les entités concernées.
• Construire un graphe temporel multi-source, proposer un algorithme de regroupement en ligne et produire pour chaque groupe un mini-graphe d’incident lisible par un analyste.
• Évaluer la méthode sur des scénarios AIT-ADS et AIT-LDS avec des séparations chronologiques et inter-scénarios, puis la comparer à des fenêtres temporelles, à un clustering classique et aux baselines SOCRATES.

Résultats attendus

Pipeline reproductible, méta-alertes et graphes d’incident. L’évaluation portera sur la pureté et la couverture des groupes, ARI ou NMI, la réduction du nombre d’objets à examiner, la latence et la robustesse au bruit et aux attaques simultanées.

Références bibliographiques 

• L. Karner et al., AlertBERT A noise robust alert grouping framework for simultaneous cyber attacks, arXiv:2602.06534, 2026.
• B. Jiang et al., ORTHRUS Achieving High Quality of Attribution in Provenance based Intrusion Detection Systems, USENIX Security 2025.

Profil et compétences

De formation : Bac +5, dernière année d’école d’ingénieur ou Master 2 en informatique, cybersécurité, science des données ou intelligence artificielle.

Compétences souhaitées 

• Python, traitement de données et manipulation de logs ; connaissance de pandas, scikit-learn ou PyTorch.
• Bases solides en apprentissage automatique ; un intérêt pour les graphes, le traitement séquentiel ou la détection d’anomalies est apprécié.
• Connaissances en cybersécurité, SIEM, MITRE ATT&CK ou analyse réseau, et capacité à lire des articles scientifiques en anglais.

Aptitudes personnelles :

• Rigueur expérimentale et esprit critique.
• Autonomie, curiosité et goût pour la recherche appliquée.
• •Capacité à expliquer clairement une méthode et ses limites.

Merci de joindre CV, lettre de motivation, relevé de notes et autres documents utiles comme une lettre de recommandations.