Stage – Agents IA pour augmenter l’analyste SOC

IRT SystemX; Palaiseau; Hybrid; EUR 12,000 - 15,000; Full time

Job summary

IRT SystemX recrute un stagiaire pour travailler sur le projet CybelIA, au Centre SOC/CSIRT à Palaiseau (91). Le stage dure 6 mois et débute en février 2027.

Gratification de 1200 € net mensuel est prévue, avec une localisation sur site au sein de l’IRT SystemX. Vous concevrez et protégerez des briques IA (agents LLM, RAG, connecteurs MCP) pour assister les analystes SOC dans leurs investigations, tout en assurant des garde-fous et de l’observabilité, et en documentant les livrables techniques

Qualifications

• Stage de fin d’études en cybersécurité ou IA
• Maîtrise Python et Docker
• Connaissance des SOC/CSIRT et SIEM
• Bonnes compétences en anglais et communication

Responsibilities

• Concevoir et prototyper des briques d’IA (agents LLM, RAG, workflows).
• Intégrer garde-fous et observabilité: validation humaine, traçabilité.
• Définir et conduire des protocoles d’évaluation sur des scénarios d’incidents.
• Présenter résultats et contribuer à la valorisation du projet.

Skills

Python

API REST

Git

Docker

LangGraph

LangChain

RAG

MCP

CTI

MITRE ATT&CK

Data analysis

Education

Master en cybersécurité

Tools

SIEM

EDR

Job description

Stage – Agents IA pour augmenter l’analyste SOC

Durée du stage :6 mois
Date de démarrage envisagée : fevrier 2027
Localisation du poste: Palaiseau (91)
Gratification: 1200 € net mensuel
Référence de l’offre à mentionner dans l’objet dans votre e-mail de candidature : STAGE-2027-07-CYBELIA

Contexte du stage

Au sein de l’Institut de Recherche Technologique SystemX, situé au cœur du campus scientifique d’excellence mondiale de Paris-Saclay, vous prendrez une part active au développement d’un centre de recherche technologique de niveau international dans le domaine de l’ingénierie numérique des systèmes. Adossé aux meilleurs organismes de recherche français du domaine et constitué par des équipes mixtes d’industriels et d’académiques, ce centre a pour mission de générer de nouvelles connaissances et solutions technologiques en s’appuyant sur les percées de l’ingénierie numérique et de diffuser ses compétences dans tous les secteurs économiques. Vous serez encadré par un ingénieur-chercheur SystemX du domaine de la sécurité numérique. Vous travaillerez au sein du projet SystemX CybelIA, dans le chantier 4 «Réponse à incident», dont les partenaires industriels sont Airbus (Airbus Protect) et RTE.

Le poste est basé à l’IRT SystemX – Palaiseau.

Présentation du sujet

Face à une alerte ou à un incident, l’analyste SOC/CSIRT commence toujours par la même routine : rassembler le contexte avant de pouvoir analyser. L’adresse IP est-elle connue ? À qui appartient la machine ? Cet utilisateur a-t-il déjà été vu ? Qu’a conclu le dernier cas similaire ? Les réponses sont dispersées entre outils (SIEM, EDR, renseignement sur la menace, inventaire des actifs, tickets, bases de connaissance), et ce travail est répété pour chaque alerte, par chaque analyste. Il en résulte un temps d’enrichissement qui se fait au détriment de l’investigation, des pertes de contexte entre consoles, des playbooks rigides et coûteux à maintenir, et une qualité d’analyse qui dépend de l’analyste, de l’équipe et de la charge. Les LLM savent désormais raisonner sur un contexte et utiliser des outils. Combinés à des agents, à la recherche dans la connaissance passée (RAG, bases de connaissance maintenues par LLM), à l’automatisation de workflows et à des connecteurs standardisés (Model Context Protocol), ils permettent d’envisager un assistant qui prend en charge la collecte pour l’analyste, à chaque étape de la réponse à incident (triage, enrichissement, investigation, réponse, rapport, capitalisation), l’analyste gardant la décision.

Objectifs du stage

Concevoir, développer et évaluer des briques d’IA (agents LLM, RAG, workflows, connecteurs MCP) qui assistent les analystes tout au long du cycle de réponse à incident, selon trois principes : automatiser la routine, augmenter l’analyste par des synthèses sourcées, et garder le contrôle (« l’automatisation propose, l’analyste décide »). Les travaux porteront sur les cas d’usage définis avec les partenaires du chantier « Réponse à incident », appelés à évoluer au cours du projet, et pourront s’appuyer sur les outils déjà développés à l’IRT SystemX, comme la plateforme SOCium AI de triage et d’investigation assistés par IA.

• Réaliser l’état de l’art sur les agents LLM appliqués au SOC et à la réponse à incident, le protocole MCP, les approches de mémoire et de capitalisation de la connaissance (RAG, bases maintenues par LLM) et les risques propres aux agents (injection de prompt, agentivité excessive).
• S’approprier les processus de réponse à incident des partenaires et les outils existants, et contribuer avec eux à la priorisation des cas d’usage.
• Concevoir et prototyper des briques réutilisables pour les cas d’usage retenus: connecteurs vers les outils SOC, workflows et agents d’enrichissement et d’investigation, base de connaissance capitalisant les incidents, la CTI et les retours d’analystes.
• Intégrer garde-fous et observabilité: lecture seule par défaut, validation humaine des actions, moindre privilège, traçabilité complète, suivi des coûts et de la qualité.
• Définir et conduire un protocole d’évaluation sur des scénarios d’incidents réalistes (temps jusqu’au premier verdict, cohérence et traçabilité des analyses, retours des analystes).
• Présenter les résultats aux partenaires, documenter les travaux et contribuer à leur valorisation (démonstrateur, poster, publication).

Livrables attendus

état de l’art, prototypes intégrés aux outils du projet, rapport d’évaluation, documentation technique.

Références bibliographiques

• Anthropic (2024). Model Context Protocol (MCP) – Specification. Spécification ouverte.

Profil et compétences

De formation: Bac+5, école d’ingénieur ou université (master), dans le domaine de la cybersécurité, de l’informatique ou de l’intelligence artificielle (stage de fin d’études).

Compétences souhaitées :

• Python et développement logiciel (API REST, Git, Docker)
• LLM et frameworks d’agents (LangGraph / LangChain), RAG, MCP
• Bases en réponse à incident et en investigation numérique (journaux, artefacts), outils SOC (SIEM, EDR)
• Connaissance de MITRE ATT&CK et de la CTI
• Notions d’analyse de données et de statistiques
• Une expérience pratique en SOC ou CSIRT est un plus

Aptitudes personnelles :

• Autonomie, rigueur et sens de l’organisation
• Curiosité et goût pour la recherche appliquée
• Aisance à travailler avec des partenaires industriels (CSIRT, SOC)
• Bonne communication écrite et orale, en français et en anglais
• Sens de la confidentialité (manipulation de données sensibles)