Stage – Agents IA pour augmenter l’analyste SOC 

Durée du stage : 6 mois
Date de démarrage envisagée : fevrier 2027
Localisation du poste : Palaiseau (91)
Gratification : 1200 € net mensuel
Référence de l’offre à mentionner dans l’objet dans votre e-mail de candidature : STAGE-2027-07-CYBELIA

Contexte du stage

Au sein de l’Institut de Recherche Technologique SystemX, situé au cœur du campus scientifique d’excellence mondiale de Paris-Saclay, vous prendrez une part active au développement d’un centre de recherche technologique de niveau international dans le domaine de l’ingénierie numérique des systèmes. Adossé aux meilleurs organismes de recherche français du domaine et constitué par des équipes mixtes d’industriels et d’académiques, ce centre a pour mission de générer de nouvelles connaissances et solutions technologiques en s’appuyant sur les percées de l’ingénierie numérique et de diffuser ses compétences dans tous les secteurs économiques. Vous serez encadré par un ingénieur-chercheur SystemX du domaine de la sécurité numérique. Vous travaillerez au sein du projet SystemX CybelIA, dans le chantier 4 « Réponse à incident », dont les partenaires industriels sont Airbus (Airbus Protect) et RTE.

Le poste est basé à l’IRT SystemX – Palaiseau.

Présentation du sujet

Face à une alerte ou à un incident, l’analyste SOC/CSIRT commence toujours par la même routine : rassembler le contexte avant de pouvoir analyser. L’adresse IP est-elle connue ? À qui appartient la machine ? Cet utilisateur a-t-il déjà été vu ? Qu’a conclu le dernier cas similaire ? Les réponses sont dispersées entre outils (SIEM, EDR, renseignement sur la menace, inventaire des actifs, tickets, bases de connaissance), et ce travail est répété pour chaque alerte, par chaque analyste. Il en résulte un temps d’enrichissement qui se fait au détriment de l’investigation, des pertes de contexte entre consoles, des playbooks rigides et coûteux à maintenir, et une qualité d’analyse qui dépend de l’analyste, de l’équipe et de la charge. Les LLM savent désormais raisonner sur un contexte et utiliser des outils. Combinés à des agents, à la recherche dans la connaissance passée (RAG, bases de connaissance maintenues par LLM), à l’automatisation de workflows et à des connecteurs standardisés (Model Context Protocol), ils permettent d’envisager un assistant qui prend en charge la collecte pour l’analyste, à chaque étape de la réponse à incident (triage, enrichissement, investigation, réponse, rapport, capitalisation), l’analyste gardant la décision.

Objectifs du stage 

Concevoir, développer et évaluer des briques d’IA (agents LLM, RAG, workflows, connecteurs MCP) qui assistent les analystes tout au long du cycle de réponse à incident, selon trois principes : automatiser la routine, augmenter l’analyste par des synthèses sourcées, et garder le contrôle (« l’automatisation propose, l’analyste décide »). Les travaux porteront sur les cas d’usage définis avec les partenaires du chantier « Réponse à incident », appelés à évoluer au cours du projet, et pourront s’appuyer sur les outils déjà développés à l’IRT SystemX, comme la plateforme SOCium AI de triage et d’investigation assistés par IA.

Missions 

• Réaliser l’état de l’art sur les agents LLM appliqués au SOC et à la réponse à incident, le protocole MCP, les approches de mémoire et de capitalisation de la connaissance (RAG, bases maintenues par LLM) et les risques propres aux agents (injection de prompt, agentivité excessive).
• S’approprier les processus de réponse à incident des partenaires et les outils existants, et contribuer avec eux à la priorisation des cas d’usage.
• Concevoir et prototyper des briques réutilisables pour les cas d’usage retenus : connecteurs vers les outils SOC, workflows et agents d’enrichissement et d’investigation, base de connaissance capitalisant les incidents, la CTI et les retours d’analystes.
• Intégrer garde-fous et observabilité : lecture seule par défaut, validation humaine des actions, moindre privilège, traçabilité complète, suivi des coûts et de la qualité.
• Définir et conduire un protocole d’évaluation sur des scénarios d’incidents réalistes (temps jusqu’au premier verdict, cohérence et traçabilité des analyses, retours des analystes).
• Présenter les résultats aux partenaires, documenter les travaux et contribuer à leur valorisation (démonstrateur, poster, publication).

Livrables attendus

état de l’art, prototypes intégrés aux outils du projet, rapport d’évaluation, documentation technique.

Références bibliographiques 

1. Habibzadeh, A., Feyzi, F., & Ebrahimi Atani, R. (2025). Large Language Models for Security Operations Centers: A Comprehensive Survey. arXiv preprint arXiv:2509.10858.
2. Wei, B., Tay, Y. S., Liu, H., Pan, J., Luo, K., Zhu, Z., & Jordan, C. (2025). CORTEX: Collaborative LLM Agents for High-Stakes Alert Triage. arXiv preprint arXiv:2510.00311.
3. Yao, S., Zhao, J., Yu, D., Du, N., Shafran, I., Narasimhan, K., & Cao, Y. (2023). ReAct: Synergizing Reasoning and Acting in Language Models. International Conference on Learning Representations (ICLR 2023).
4. Lewis, P., Perez, E., Piktus, A., Petroni, F., Karpukhin, V., Goyal, N., Küttler, H., Lewis, M., Yih, W.-t., Rocktäschel, T., Riedel, S., & Kiela, D. (2020). Retrieval-Augmented Generation for Knowledge-Intensive NLP Tasks. Advances in Neural Information Processing Systems (NeurIPS 2020), vol. 33, pp. 9459–9474.
5. Greshake, K., Abdelnabi, S., Mishra, S., Endres, C., Holz, T., & Fritz, M. (2023). Not What You’ve Signed Up For: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection. Proceedings of the 16th ACM Workshop on Artificial Intelligence and Security (AISec ’23), pp. 79–90.
6. Nelson, A., Rekhi, S., Souppaya, M., & Scarfone, K. (2025). Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile. NIST Special Publication 800-61 Revision 3, National Institute of Standards and Technology.
7. Anthropic (2024). Model Context Protocol (MCP) – Specification. Spécification ouverte.

Profil et compétences

De formation : Bac+5, école d’ingénieur ou université (master), dans le domaine de la cybersécurité, de l’informatique ou de l’intelligence artificielle (stage de fin d’études).

Compétences souhaitées :

• Python et développement logiciel (API REST, Git, Docker)
• LLM et frameworks d’agents (LangGraph / LangChain), RAG, MCP
• Bases en réponse à incident et en investigation numérique (journaux, artefacts), outils SOC (SIEM, EDR)
• Connaissance de MITRE ATT&CK et de la CTI
• Notions d’analyse de données et de statistiques
• Une expérience pratique en SOC ou CSIRT est un plus

Aptitudes personnelles :

• Autonomie, rigueur et sens de l’organisation
• Curiosité et goût pour la recherche appliquée
• Aisance à travailler avec des partenaires industriels (CSIRT, SOC)
• Bonne communication écrite et orale, en français et en anglais
• Sens de la confidentialité (manipulation de données sensibles)

Merci d’indiquer la référence du stage dans l’objet de votre mail de candidature, d’y joindre CV, lettre de motivation et autres documents pertinents.