AI Security Engineer

INOCO est une ESN indépendante de 60 personnes, détenue par ses salariés. On accompagne des grands comptes (banque, assurance, énergie, industrie) et des start-ups sur leurs projets IA, du cadrage jusqu’à la mise en production.

Mettre un agent en production ouvre une surface d’attaque que les référentiels de sécurité classiques ne couvrent pas. Un RAG mal cloisonné sert à un stagiaire des documents réservés au comité exécutif. Un agent qui a accès à une boîte mail exécute des instructions cachées dans un message reçu. Un assistant interne devient le chemin le plus court vers des données que personne n’aurait exposées volontairement. Nos clients, souvent régulés, ont besoin de tenir ces sujets sans arrêter les projets.

On cherche un ou une AI Security Engineer pour porter ces sujets côté client, dans des squads mixtes INOCO + équipes internes, en lien direct avec les RSSI et les équipes qui construisent.

Ce que tu feras côté mission client

• Threat modeling des applications LLM et agentiques : prompt injection directe et indirecte, exfiltration de données, empoisonnement de corpus, abus d’outils, déni de service par les coûts.

• Cloisonnement des données et propagation des droits dans les chaînes de retrieval, sujet le plus souvent sous-estimé en grand compte.

• Sécurisation des agents : périmètre des outils, permissions, isolation d’exécution, points de validation humaine, limites de dépense.

• Filtrage entrée et sortie : guardrails, détection de fuites, classification des contenus sensibles.

• Red teaming des applications avant mise en production, puis en continu, avec des scénarios adaptés au métier du client.

• Journalisation, traçabilité et détection : ce qu’il faut conserver pour auditer une réponse et instruire un incident.

• Accompagnement des équipes de développement : règles internes, revues d’architecture, revues de code sur les points sensibles, sessions de sensibilisation.

• Interface avec le RSSI, le DPO et la conformité, y compris sur les exigences AI Act, DORA ou NIS2 selon le secteur.

Ce que tu feras en interne chez INOCO

• Contribuer à structurer le pôle d’expertise IA sur le volet sécurité : référentiel maison, checklist de mise en production, patterns d’architecture sécurisée servant de base à toutes nos missions.

• Faire monter en compétences les AI Engineers et les développeurs de la communauté : sessions techniques, revues croisées, cas pratiques.

• Veille active sur l’écosystème (OWASP Top 10 for LLM Applications, MITRE ATLAS, nouvelles techniques d’attaque, outillage) et diffusion auprès des équipes.

• Pré-vente : appui aux ingénieurs d’affaires sur les sujets de sécurité et de conformité IA.

• Animation : meet‑ups, conférences, INOCODAY, projets internes. Les sujets qui tiennent à cœur trouvent leur place.

La stack typiquePython (bon niveau attendu, pour outiller et automatiser les tests) Sécurité IA : OWASP LLM Top 10, MITRE ATLAS, outils de red teaming (Garak, PyRIT, promptfoo ou équivalents), guardrails (NeMo Guardrails, Llama Guard)GenAI : architectures RAG, systèmes multi‑agents, MCP, bases vectorielles, LangfuseCloud : Azure, GCP ou AWS selon le contexte client, avec leurs briques de sécurité et d’IAMInfra : Kubernetes (souvent OpenShift en grand compte), gestion des secrets, CI/CD, OTEL, SIEMIdentité et accès : OAuth2, OIDC, propagation d’identité dans les appels d’outils

Preferred experience6 ans et plus en cybersécurité : AppSec, pentest, sécurité cloud ou architecture sécurisée. Expérience concrète sur des applications LLM ou agentiques en production, au-delà de la lecture de publications. Capacité à écrire du code, à monter un harnais de tests et à démontrer une faille plutôt qu’à la décrire. Pédagogie avec les équipes de développement, dont l’objectif reste de livrer. Connaissance du cadre réglementaire applicable aux systèmes d’IA, ou envie sérieuse de s’y mettre. Français et anglais courants à l’écrit et à l’oral (réunions client, documentation, veille).

Un plus : environnement régulé (banque, assurance, santé, secteur public, énergie).