Ingénieur Sécurité Applicative IA

Contexte

Au sein des équipes Cybersécurité d'une grande banque d'investissement internationale, expertise axée sur le pilotage technique et l'ingénierie d'une automatisation de sécurité de nouvelle génération basée sur l'IA agentique. Périmètre d'intervention : la conception, la construction et l'industrialisation d'« agents » de sécurité autonomes capables d'exécuter des tests de sécurité avancés et/ou des contrôles conformément aux processus de Sécurité Applicative de cette banque. La mission se concentre sur la transition au-delà de la simple correspondance de patterns vers des moteurs de raisonnement autonomes pour la contextualisation des vulnérabilités, l'orchestration de workflows de scan complexes, et la suggestion de remédiations précises et/ou un triage approprié réalisé par les développeurs. Bien que le cœur de la mission soit le développement d'outils, le périmètre inclut le soutien aux activités courantes (BAU), notamment l'analyse de vulnérabilités, les contrôles de release et le support au benchmarking.

Missions

Développement d'outillage de sécurité agentique

Développement de harness agentique : Conception et implémentation d'agents autonomes capables de raisonner sur la logique du code (SAST) et le comportement applicatif (DAST) pour l'identification de vulnérabilités complexes

Orchestration de l'analyse automatisée : Construction de pipelines modulaires pour le chaînage de LLMs, de scanners traditionnels et de couches de raisonnement personnalisées afin d'automatiser le cycle de vie « détection-triage-remédiation »

Intégration SAST/DAST : Développement de wrappers intelligents et de harnesses autour des outils existants pour enrichir leurs résultats via une contextualisation pilotée par l'IA et une réduction des faux positifs

Activités BAU & Contribution continue

Analyse de vulnérabilités : Apport d'une expertise AppSec opérationnelle via l'analyse des vulnérabilités remontées par les outils SAST/SCA et la réalisation d'un triage manuel pour distinguer les problèmes exploitables des faux positifs

Support aux releases & déploiements : Assistance à l'industrialisation et au déploiement des contrôles de sécurité dans le processus de release entreprise

Guidance en remédiation : Contribution à la fourniture de recommandations de correction au niveau du code et de patterns de développement sécurisé aux équipes de développement

Périmètre d'intervention technique

Conception, développement et déploiement d'un harness d'analyse de sécurité modulaire, de qualité production, capable d'exécuter des scans à grande échelle

Contribution aux activités de benchmarking structuré comparant les résultats de scan entre Fortify et un outil alternatif sélectionné (agentique ou SAST traditionnel), couvrant :

Architecture modulaire : Un pipeline intégrant un raisonnement basé sur LLM (contextualisation, filtrage des faux positifs et suggestion de remédiation)

Déploiement scalable : Un service conteneurisé exposé via API (Docker/Kubernetes) permettant des scans à la demande ou déclenchés par CI/CD

Sorties industrialisées : Formatage structuré des résultats (JSON/SARIF) et intégration avec les systèmes de gestion des vulnérabilités en aval