AI Security Engineer

INOCO; Paris; Sur place; EUR 90 000 - 130 000; Plein temps

Résumé du poste

INOCO recherche un(e) AI Security Engineer pour porter les sujets IA côté client, en squads INOCO + équipes clientes, en lien direct avec les RSSI et les équipes produit. Vous contribuerez à structurer le pôle sécurité IA, encadrerez des AI Engineers et développerez les patterns d’architecture sécurisée pour des projets en production.

Le candidat idéal justifie d’au moins 6 ans en cybersécurité, maîtrise les architectures multi‑agents, et sait démontrer une faille par des tests concrets.

Qualifications

• Expérience en AppSec, pentest, sécurité cloud ou architecture sécurisée.
• Expérience concrète sur des applications LLM ou agentiques en production.
• Capacité à écrire du code et démontrer une vulnérabilité.
• Pédagogie envers les équipes de développement et livraison orientée métier.
• Connaissance du cadre réglementaire applicable aux systèmes d’IA ou motivation à l’acquérir.

Responsabilités

• Accompagner les équipes client dans les sujets sécurité IA et conformité (AI Act, DORA, NIS2).
• Réaliser threat modeling des applications LLM et des agents, définir les périmètres de sécurité et les guardrails.
• Securiser les agents: périmètre, permissions, isolation d’exécution et coûts.
• Mettre en place et déployer des tests de sécurité et des retours d’expérience (red teaming).
• Assurer journalisation, traçabilité et détection pour auditer les réponses et les incidents.

Connaissances

Threat modeling

Data isolation

Agent security

Guardrails

Red teaming

Logging & tracing

Incident response

Dev team coaching

Réglementation IA (AI Act, DORA, NIS2)

Outils

Garak

PyRIT

promptfoo

NeMo Guardrails

Llama Guard

OWASP Top 10 for LLM Applications

MITRE ATLAS

Description du poste

INOCO est une ESN indépendante de 60 personnes, détenue par ses salariés. On accompagne des grands comptes (banque, assurance, énergie, industrie) et des start-ups sur leurs projets IA, du cadrage jusqu’à la mise en production.

Mettre un agent en production ouvre une surface d’attaque que les référentiels de sécurité classiques ne couvrent pas. Un RAG mal cloisonné sert à un stagiaire des documents réservés au comité exécutif. Un agent qui a accès à une boîte mail exécute des instructions cachées dans un message reçu. Un assistant interne devient le chemin le plus court vers des données que personne n’aurait exposées volontairement. Nos clients, souvent régulés, ont besoin de tenir ces sujets sans arrêter les projets.

On cherche un ou une AI Security Engineer pour porter ces sujets côté client, dans des squads mixtes INOCO + équipes internes, en lien direct avec les RSSI et les équipes qui construisent.

Ce que tu feras côté mission client

• Threat modeling des applications LLM et agentiques : prompt injection directe et indirecte, exfiltration de données, empoisonnement de corpus, abus d’outils, déni de service par les coûts.

• Cloisonnement des données et propagation des droits dans les chaînes de retrieval, sujet le plus souvent sous-estimé en grand compte.

• Sécurisation des agents : périmètre des outils, permissions, isolation d’exécution, points de validation humaine, limites de dépense.

• Filtrage entrée et sortie : guardrails, détection de fuites, classification des contenus sensibles.

• Red teaming des applications avant mise en production, puis en continu, avec des scénarios adaptés au métier du client.

• Journalisation, traçabilité et détection : ce qu’il faut conserver pour auditer une réponse et instruire un incident.

• Accompagnement des équipes de développement : règles internes, revues d’architecture, revues de code sur les points sensibles, sessions de sensibilisation.

• Interface avec le RSSI, le DPO et la conformité, y compris sur les exigences AI Act, DORA ou NIS2 selon le secteur.

Ce que tu feras en interne chez INOCO

• Contribuer à structurer le pôle d’expertise IA sur le volet sécurité : référentiel maison, checklist de mise en production, patterns d’architecture sécurisée servant de base à toutes nos missions.

• Faire monter en compétences les AI Engineers et les développeurs de la communauté : sessions techniques, revues croisées, cas pratiques.

• Veille active sur l’écosystème (OWASP Top 10 for LLM Applications, MITRE ATLAS, nouvelles techniques d’attaque, outillage) et diffusion auprès des équipes.

• Pré-vente : appui aux ingénieurs d’affaires sur les sujets de sécurité et de conformité IA.

• Animation : meet‑ups, conférences, INOCODAY, projets internes. Les sujets qui tiennent à cœur trouvent leur place.

La stack typiquePython (bon niveau attendu, pour outiller et automatiser les tests) Sécurité IA : OWASP LLM Top 10, MITRE ATLAS, outils de red teaming (Garak, PyRIT, promptfoo ou équivalents), guardrails (NeMo Guardrails, Llama Guard)GenAI : architectures RAG, systèmes multi‑agents, MCP, bases vectorielles, LangfuseCloud : Azure, GCP ou AWS selon le contexte client, avec leurs briques de sécurité et d’IAMInfra : Kubernetes (souvent OpenShift en grand compte), gestion des secrets, CI/CD, OTEL, SIEMIdentité et accès : OAuth2, OIDC, propagation d’identité dans les appels d’outils

Preferred experience6 ans et plus en cybersécurité : AppSec, pentest, sécurité cloud ou architecture sécurisée. Expérience concrète sur des applications LLM ou agentiques en production, au-delà de la lecture de publications. Capacité à écrire du code, à monter un harnais de tests et à démontrer une faille plutôt qu’à la décrire. Pédagogie avec les équipes de développement, dont l’objectif reste de livrer. Connaissance du cadre réglementaire applicable aux systèmes d’IA, ou envie sérieuse de s’y mettre. Français et anglais courants à l’écrit et à l’oral (réunions client, documentation, veille).

Un plus : environnement régulé (banque, assurance, santé, secteur public, énergie).