Description
Defensive cyber operations (lutte informatique défensive, LID) cover the techniques used to anticipate, detect, alert on and respond to cyberattacks. As the technical expert of the French ministry of the Armed Forces in cybersecurity, DGA Maîtrise de l'information develops its own expertise in this field.
This day follows a public document setting out the DGA's priority research topics and the call for contributions issued from it. Its purpose is to share the ministry's technical concerns, open problems and use cases with the academic research community, so that joint research projects can be built and funded through CREACH Labs.
Each talk lasts 20 minutes, followed by 10 minutes of questions.
Practical information
Attendance is by invitation; about thirty participants are expected.
Travel expenses are not covered by default: speakers who wish to claim them may submit a request, which will be examined case by case.
For any question about the day, please contact Karine Chatel — karine.chatel@univ-rennes.fr.
Practical infos
The program
-
09:00 - 09:20
Welcome
-
09:20 - 09:30
Introduction — DGA MI
Claire Diehl-Watrin — DGA Maîtrise de l'information
-
09:30 - 10:00
Sécurisation et supervision de systèmes agentiques
David Lanoé — DGA Maîtrise de l'information
Abstract to be announced.
-
10:00 - 10:30
Évaluation des IDS : réalités opérationnelles
Erwan Godefroy, David Lanoé, Frédéric Majorczyk — DGA Maîtrise de l'information
Cette intervention part des contraintes opérationnelles liées à l'exploitation des solutions de détection d'intrusions pour formuler des exigences relatives à leur évaluation. Il existe en effet un écart significatif entre les performances rapportées dans de nombreux travaux de la littérature et les retours d'expérience constatés sur le terrain. Cet écart s'explique en partie par les biais et comportements inhérents aux jeux de données, l'inadéquation des métriques d'évaluation, ainsi que par l'absence d'analyse approfondie des résultats, notamment en ce qui concerne les faux positifs. Cette présentation propose ainsi des axes d'amélioration visant à fiabiliser l'évaluation des solutions de détection et à la rapprocher des conditions opérationnelles réelles.
-
10:30 - 11:00
Coffee break
-
11:00 - 11:30
Graph2TTP: Knowledge Graph-Guided Paragraph-Level TTPs Identification from Cyber Threat Intelligence Reports
Patrick Zounon — Inria Rennes
Mapping unstructured Cyber Threat Intelligence (CTI) reports to the MITRE ATT&CK framework is critical for proactive defence but remains a manual, time-consuming process. Existing automated approaches either rely on black-box language models that lack interpretable reasoning or brittle, rule-based knowledge graphs that fail to scale. Graph2TTP is a neural-symbolic framework for automated, paragraph-level Tactic, Technique and Procedure identification: it leverages the zero-shot comprehension of large language models to extract entities and relations from extensive CTI narratives, builds localized Cyber Security Knowledge Graphs, encodes them into dense embeddings and processes them with a multi-label Edge-featured Graph Attention Network. The talk also presents APTCTI, a dataset of 690 Advanced Persistent Threat reports spanning over 18 087 paragraphs, on which Graph2TTP outperforms state-of-the-art neural baselines by about 20 % in F1 score.
-
11:30 - 12:00
HYPERDRIFT: A New Approach to High-Interaction Honeypot Data Analysis Applied to React2Shell
Dorian Bachelot — équipe PIRAT (CentraleSupélec / Inria)
Présentation d'une nouvelle approche pour l'analyse de données issues des honeypots hautes interactions afin de reconstruire les différentes campagnes et permettre l'observation des dynamiques d'évolution dans ces dernières. Application de cette approche à un nouveau jeu de données sur la vulnérabilité React2Shell, lancée sur la plateforme HopLab (Honeypot Lab) du Laboratoire Haute Sécurité de Rennes, et analyse de ces résultats. Travaux issus d'un article en cours de publication.
-
12:00 - 12:30
Évaluation des capacités des attaquants LLM autonomes
Sébastien Kilian — équipe PIRAT (CentraleSupélec, Inria, IRISA)
Les agents fondés sur des modèles de langage sont régulièrement présentés comme capables de conduire seuls un test d'intrusion, mais les preuves avancées reposent le plus souvent sur quelques scénarios écrits à la main et sur un verdict binaire de réussite ou d'échec. Cet exposé propose une évaluation à plus grande échelle, appuyée sur une infrastructure de test produite automatiquement : à partir d'un identifiant de technique d'attaque, un modèle produit conjointement un service vulnérable déployable et le code offensif qui vérifie que le service est bien vulnérable, la technique n'étant retenue que si l'exploit réussit sur l'infrastructure déployée. Trente-cinq techniques vérifiées ont ainsi été créées, enchaînables en scénarios complets et redéployées à neuf pour chaque exécution. Ce banc d'essai permet de comparer 46 modèles, avec pour référence un planificateur symbolique qui ne raisonne que sur les faits observés, puis d'analyser les exécutions des agents dans différentes situations.
-
12:30 - 14:00
Lunch
-
14:00 - 14:30
KGADA — Knowledge-Guided Attack Detection and Diagnosis for Trustworthy Cyber-Physical Systems
Isadora Ferrao — Lab-STICC, Université de Bretagne Occidentale
Attack detection in Cyber-Physical Systems (CPS) is hindered by adversaries capable of preserving the local plausibility of measurements while exploiting dependencies among coupled subsystems. This work proposes the Knowledge-guided Heterogeneous Graph Network (KHGN), a neuro-symbolic architecture that represents the CPS as a typed heterogeneous graph, integrating three complementary dimensions: temporal sensor dynamics, physical topology of the system, and domain knowledge formalized through an ontology. The effectiveness of the approach is evaluated on the Secure Water Treatment (SWaT) industrial testbed for multi-stage attack detection.
-
14:30 - 15:00
DISIR — Détection d'intrusions dans les systèmes industriels par représentation temporelle-symbolique
Enzo Zamaï — Lab-STICC, Université Bretagne Sud
Les systèmes de contrôle industriels combinent aujourd'hui des réseaux informatiques (IT) et des processus physiques (OT), ce qui crée des environnements cyber-physiques exposés à une grande variété de cybermenaces. Cet exposé présente une représentation temporelle-symbolique des données : les observations successives sont organisées en matrices qui conservent leur ordre temporel, et un réseau de neurones convolutif léger les exploite, avec un mécanisme de pooling guidé par masque qui apprend l'horizon temporel pertinent pour chaque observation. La même architecture sert à la détection d'intrusions réseau (IT) et à la détection d'anomalies sur les séries temporelles de capteurs (OT, en non supervisé). Évaluée sur CICIDS2017, SWaT et WADI, l'approche obtient des performances compétitives avec des modèles de moins de 170 000 paramètres, et l'inférence reste en temps réel sur du matériel embarqué de type ARM et Raspberry Pi.
-
15:00 - 15:30
UFLFG — Unlearning for Learning: A Federated GNN Architecture for Intrusion Detection in IoT-Driven Systems
Abd El Rahman Omar — Lab-STICC, Université de Bretagne Occidentale
IoT systems, including defense sensor networks, drone swarms and industrial control systems, face increasingly sophisticated cyberattacks, while centralizing traffic data for detection raises confidentiality and sovereignty concerns. FEGLU is a federated architecture combining learning and unlearning for intrusion detection: each device models its communications as a graph analyzed by a hierarchical attention-based GNN fusing GraphSAGE, GAT and GIN, devices are dynamically grouped into security-aware clusters, and Byzantine-robust aggregation limits malicious updates. A cluster-level unlearning mechanism removes the influence of a compromised device without full retraining. On BoT-IoT, FEGLU reaches 97.76 % accuracy, retains 96.70 % after unlearning, keeps membership inference near random, and unlearns 18.5× faster than full retraining. The talk also discusses the limitations of this evaluation and directions toward per-attack metrics.
-
15:30 - 16:00
GRAAL: GRAph-based Analysis of Logs for Advanced AI-based Intrusion Detection Systems
Fanny Dijoud — équipe PIRAT (Inria, IRISA)
Intrusion Detection Systems (IDS) are essential tools for detecting and analyzing malicious system activity. Anomaly-based IDS have gained popularity due to their ability to detect zero-day attacks, but recent AI-based IDS still suffer from high false positive rates, non-scalability and biases, which limit their practicality in real-world deployments. GRAAL is an end-to-end unsupervised graph-based anomaly IDS that allows scalable multi-level detection, achieves a low false positive rate and provides interpretable outputs to assist analysts. It extracts features from heterogeneous provenance graphs, combining structural and attribute embeddings, and processes them with several autoencoder models detecting anomalies at both graph and system entity levels. Compared against six state-of-the-art IDS on several datasets, GRAAL achieves higher precision; the comparison also reveals methodological and reproducibility biases in current IDS evaluations. Work published at EuroS&P 2026.
-
16:00 - 16:30
Attaques par injection de flux contre les NIDS fondés sur les réseaux de neurones sur graphes
Matthieu Mouzaoui — équipe PIRAT (Centre Inria de l'Université de Rennes)
Bien que les systèmes de détection d'intrusion réseau fondés sur des réseaux de neurones sur graphes excellent en encodant la structure du trafic, cette dépendance structurelle introduit de nouvelles vulnérabilités face aux attaques adverses. Les attaques existantes restent peu réalistes : accès en boîte blanche, budget de requêtes trop élevé, ou manipulations de charge utile qui compromettent l'exploit lui-même. Cet exposé propose une attaque en boîte noire, où seule l'étiquette prédite est observée, qui contourne la détection en injectant uniquement des flux de trafic supplémentaires valides, préservant l'intégrité fonctionnelle de l'exploit. Le problème combinatoire est formulé comme une maximisation faiblement sous-modulaire, résolue à l'aide d'un GNN de substitution local et d'une recherche gloutonne guidée par l'influence, avec une garantie d'approximation en temps polynomial. Travaux publiés à ESORICS 2026.
-
16:30 - 16:45
Closing remarks