Ingénieur IA Sécurité Llms H/F

Dynabuy; Saint-Herblain; On-site; EUR 10,000 - 13,000; Full time

Benefits offered by this job

Encadrement régulier

Accès aux environnements recette et/ou

Projets réels

Job summary

Dynabuy recherche un élève ingénieur en fin d'études pour un stage de 6 mois au sein du Pôle IA & Data à Nantes. Vous travaillerez sur des services d'IA générative en production (LLM, RAG, base vectorielle, API, MCP) et contribuerez à bâtir une approche de sécurité de bout en bout pour l’ingestion et l’exploitation des documents.

Le stage porte sur l'état de l'art, la modélisation des menaces, la construction d'un banc d'essai et le déploiement de défenses robustes tout en mesurant les

Qualifications

• Solides bases en développement Python et compréhension des LLM/embeddings.
• Culture de la sécurité applicative (OWASP top 10) et rigueur dans la mesure.
• Connaissance de PHP et pratique du CTF ou équivalent.
• Intérêt pour les architectures IA/RAG et le déploiement sécurisé.

Responsibilities

• Réaliser un état de l'art des vulnérabilités LLM et RAG et cartographier les menaces.
• Construire un banc d'essai de documents piégés et automatiser les attaques.
• Concevoir et déployer des défenses couvrant ingestion, vectorisation et sortie.
• Évaluer les performances et la sécurité environnementale du dispositif.

Skills

Python développement

LLM et embeddings

RAG architecture

sécurité applicative

Education

Dernière année d'ingénieur

Tools

PHP

CTF

CI/CD tooling

Job description

Dynabuy est une centrale d'achats qui négocie des conditions auprès de fournisseurs pour un réseau d'environ 364 000 entreprises adhérentes. Au sein du Pôle IA & Data, nous recherchons une/un élève ingénieure/ingénieur pour un stage de fin d'études de 6 mois.

Nous exploitons en production des services d'IA générative qui traitent des documents commerciaux : LLM multimodaux, architecture RAG, embeddings et base vectorielle, exposés par API et par un serveur MCP qui permet à des agents IA de les appeler comme des outils. Ces services ingèrent des documents sur lesquels nous n'avons aucun contrôle et s'ouvrent à des agents tiers : autant de surfaces d'attaque. La protection ne peut pas reposer sur la seule robustesse native des modèles, et la littérature récente le confirme : les détecteurs d'injection publiés sont contournables, l'empoisonnement d'une base de connaissances réussit avec une poignée de documents, et les serveurs MCP réels cèdent à des attaques par description d'outil dans une proportion significative des cas.

Le stage commence par un état de l'art des vulnérabilités propres aux systèmes LLM et RAG, des techniques d'attaque publiées et des mécanismes de protection existants. Sur cette base, il s'agit de construire une campagne de red teaming automatisée et reproductible : une batterie de scénarios d'attaque ciblant chaque surface exposée (API, documents ingérés, base vectorielle, serveur MCP), exécutée avant la mise en place des garde-fous pour établir une ligne de base, puis rejouée après pour mesurer leur efficacité. L'objectif final est de concevoir, implémenter et déployer un dispositif de sécurisation de bout en bout, de l'ingestion des documents à la restitution, combinant plusieurs familles de techniques : filtrage et détection d'injections, validation déterministe par un moteur de raisonnement structuré (Jev, approche de type « système 1 »), contrôles de cohérence métier pour la détection de fraude, durcissement des interfaces. Ce dispositif doit résister aux attaques connues sans dégrader le service pour les documents légitimes. Il ne s'agit pas d'empiler des garde-fous mais de savoir ce que chacun bloque, ce qu'il laisse passer et ce qu'il coûte.

Vos missions

• État de l'art et modèle de menace (semaines 1 à 4) :
• Cartographier les menaces propres aux systèmes documentaires à base de LLM : injection d'instructions directe et indirecte via le contenu des documents (texte caché dans les PDF, instructions typographiques ou stéganographiques dans les images lues par un modèle de vision), empoisonnement de la base vectorielle par des contenus malveillants indexés, détournement d'outils MCP (descriptions piégées, arguments manipulés), exfiltration de données par les sorties du modèle ou par des appels d'outils ;
• Couvrir les attaques à objectif économique et la fraude documentaire : falsification de montants, manipulation des résultats affichés ;
• Produire la surface d'attaque de notre architecture, composant par composant, avec les points d'entrée, les actifs exposés et les impacts.

• Banc d'essai et reproduction des menaces (semaines 4 à 8) :
• Construire un banc de documents piégés couvrant chaque vecteur identifié et chaque surface (API, documents, base vectorielle, MCP), avec une vérité terrain : ce que le système aurait dû produire ;
• Automatiser les attaques avec les outils du domaine (promptfoo, garak, PyRIT ou équivalent) et mesurer l'état initial : taux de succès des attaques, utilité conservée sur les documents légitimes, latence.

• Conception et implémentation des défenses (semaines 8 à 18) :
• Séparer strictement instructions et données dans les appels aux modèles ;
• Détecter les tentatives d'injection dès l'ingestion, avant vectorisation (pre-embedding), pour qu'aucun contenu malveillant n'entre dans la base vectorielle ;
• Inspecter les documents avant lecture : texte invisible, calques, polices d'un pixel ;
• Valider les sorties structurées par un schéma typé, en s'appuyant sur Jev, notre moteur de raisonnement structuré et déterministe, comme une technique de détection parmi d'autres ;
• Mettre en place des contrôles de cohérence déterministes sur les valeurs extraites pour détecter fraudes et anomalies ;
• Évaluer la sécurité de Jev lui-même : robustesse aux entrées adverses et capacité à servir de rempart face à un LLM compromis ;
• Durcir le serveur MCP : descriptions d'outils figées, validation des arguments, moindre privilège, journalisation ;
• Définir des politiques de sortie contre l'exfiltration, et mesurer l'apport de chaque couche.

• Évaluation adaptative (semaines 16 à 20) :
• Rejouer le banc d'essai contre le système défendu, puis le faire évoluer : un attaquant qui connaît les défenses les contourne-t-il ?
• Mesurer le taux de succès résiduel, les faux positifs sur documents légitimes et l'impact sur la latence ;
• Indispensable : mesurer la performance du service (qualité des résultats, latence, coût) avant et après chaque protection, à l'aide des tests de non-régression, pour garantir l'absence de dégradation ou la minimiser.

• Déploiement et transfert (semaines 20 à 24) :
• Intégrer le dispositif retenu dans la chaîne de livraison : tests de sécurité en intégration continue, surveillance en production, procédure de réponse ;
• Déployer en production avec l'équipe ;

• Élève ingénieur en dernière année (cybersécurité, IA), ou M2 à orientation professionnelle, en stage de fin d'études.
• Indispensable : solides bases en développement Python ; compréhension du fonctionnement des LLM, des embeddings et d'une architecture RAG ; culture de la sécurité applicative (modélisation de menaces, OWASP) ; rigueur dans la mesure : on ne déclare pas une défense efficace sans l'avoir attaquée.
• Apprécié : connaissance de PHP ; pratique du CTF ou du bug bounty ; connaissance de l'OWASP Top 10 pour les applications LLM et des travaux récents sur l'injection d'instructions ; expérience d'outillage CI/CD ; curiosité pour le protocole MCP et les agents.

Ce que nous offrons

• Un terrain réel : des services d'IA générative en production (LLM, RAG, base vectorielle, API, serveur MCP) et des documents réels pour construire le banc d'essai. Vous travaillerez sur un système utilisé, pas sur une maquette.
• Un environnement d'évaluation existant : un harnais avec un jeu de référence versionné et des tests de non-régression en intégration continue, partagé avec le stage de recherche sur l'appariement mené en parallèle.
• Un encadrement régulier : point hebdomadaire avec l'encadrant, revues de code avec l'équipe, accès aux environnements de recette et de production selon les règles de l'entreprise.
• Un sujet au coeur de la feuille de route : le stage s'inscrit dans la feuille de route produit et dans le programme de R&D du pôle.

Stage de 6 mois, début entre février et mars 2027 - Nantes

Pour aller plus loin avant de candidater

• OWASP Top 10 for LLM Applications (2025)
• Greshake et al., Not what you've signed up for: indirect prompt injection, AISec 2023
• Zou et al., PoisonedRAG, USENIX Security 2025
• Debenedetti et al., Defeating prompt injections by design (CaMeL), 2025
• Beurer-Kellner et al., Design patterns for securing LLM agents against prompt injections, 2025
• Le dépôt MCPTox sur l'empoisonnement d'outils MCP