Description
La lutte informatique défensive (LID) regroupe l'ensemble des techniques permettant d'anticiper, de détecter, d'alerter et de réagir face à des cyberattaques. Expert technique du ministère des Armées en matière de cybersécurité, le centre technique de DGA Maîtrise de l'information développe une expertise propre dans ce domaine.
Cette journée fait suite au document public décrivant les thématiques de recherche prioritaires de la DGA et à l'appel à propositions d'exposés lancé à partir de celui-ci. Elle vise à partager les préoccupations techniques, les verrous et les cas d'usage du ministère avec la communauté de la recherche académique, afin de favoriser la construction de projets de recherche financés via CREACH Labs.
Chaque exposé dure 20 minutes, suivies de 10 minutes de questions.
Informations pratiques
La participation se fait sur invitation ; une trentaine de participants sont attendus.
Les frais de déplacement ne sont pas pris en charge par défaut : les intervenants qui le souhaitent peuvent en faire la demande, examinée au cas par cas.
Pour toute question sur la journée, vous pouvez contacter Karine Chatel — karine.chatel@univ-rennes.fr.
Infos pratiques
Le programme
-
09:00 - 09:20
Accueil des participants
-
09:20 - 09:30
Introduction DGA MI
Claire Diehl-Watrin — DGA Maîtrise de l'information
-
09:30 - 10:00
Sécurisation et supervision de systèmes agentiques
David Lanoé — DGA Maîtrise de l'information
Résumé à venir.
-
10:00 - 10:30
Évaluation des IDS : réalités opérationnelles
Erwan Godefroy, David Lanoé, Frédéric Majorczyk — DGA Maîtrise de l'information
Cette intervention part des contraintes opérationnelles liées à l'exploitation des solutions de détection d'intrusions pour formuler des exigences relatives à leur évaluation. Il existe en effet un écart significatif entre les performances rapportées dans de nombreux travaux de la littérature et les retours d'expérience constatés sur le terrain. Cet écart s'explique en partie par les biais et comportements inhérents aux jeux de données, l'inadéquation des métriques d'évaluation, ainsi que par l'absence d'analyse approfondie des résultats, notamment en ce qui concerne les faux positifs. Cette présentation propose ainsi des axes d'amélioration visant à fiabiliser l'évaluation des solutions de détection et à la rapprocher des conditions opérationnelles réelles.
-
10:30 - 11:00
Pause
-
11:00 - 11:30
Graph2TTP: Knowledge Graph-Guided Paragraph-Level TTPs Identification from Cyber Threat Intelligence Reports
Patrick Zounon — Inria Rennes
Mapping unstructured Cyber Threat Intelligence (CTI) reports to the MITRE ATT&CK framework is critical for proactive defence but remains a manual, time-consuming process. Existing automated approaches either rely on black-box language models that lack interpretable reasoning or brittle, rule-based knowledge graphs that fail to scale. Graph2TTP is a neural-symbolic framework for automated, paragraph-level Tactic, Technique and Procedure identification: it leverages the zero-shot comprehension of large language models to extract entities and relations from extensive CTI narratives, builds localized Cyber Security Knowledge Graphs, encodes them into dense embeddings and processes them with a multi-label Edge-featured Graph Attention Network. The talk also presents APTCTI, a dataset of 690 Advanced Persistent Threat reports spanning over 18 087 paragraphs, on which Graph2TTP outperforms state-of-the-art neural baselines by about 20 % in F1 score.
-
11:30 - 12:00
HYPERDRIFT: A New Approach to High-Interaction Honeypot Data Analysis Applied to React2Shell
Dorian Bachelot — équipe PIRAT (CentraleSupélec / Inria)
Présentation d'une nouvelle approche pour l'analyse de données issues des honeypots hautes interactions afin de reconstruire les différentes campagnes et permettre l'observation des dynamiques d'évolution dans ces dernières. Application de cette approche à un nouveau jeu de données sur la vulnérabilité React2Shell, lancée sur la plateforme HopLab (Honeypot Lab) du Laboratoire Haute Sécurité de Rennes, et analyse de ces résultats. Travaux issus d'un article en cours de publication.
-
12:00 - 12:30
Évaluation des capacités des attaquants LLM autonomes
Sébastien Kilian — équipe PIRAT (CentraleSupélec, Inria, IRISA)
Les agents fondés sur des modèles de langage sont régulièrement présentés comme capables de conduire seuls un test d'intrusion, mais les preuves avancées reposent le plus souvent sur quelques scénarios écrits à la main et sur un verdict binaire de réussite ou d'échec. Cet exposé propose une évaluation à plus grande échelle, appuyée sur une infrastructure de test produite automatiquement : à partir d'un identifiant de technique d'attaque, un modèle produit conjointement un service vulnérable déployable et le code offensif qui vérifie que le service est bien vulnérable, la technique n'étant retenue que si l'exploit réussit sur l'infrastructure déployée. Trente-cinq techniques vérifiées ont ainsi été créées, enchaînables en scénarios complets et redéployées à neuf pour chaque exécution. Ce banc d'essai permet de comparer 46 modèles, avec pour référence un planificateur symbolique qui ne raisonne que sur les faits observés, puis d'analyser les exécutions des agents dans différentes situations.
-
12:30 - 14:00
Déjeuner
-
14:00 - 14:30
KGADA — Knowledge-Guided Attack Detection and Diagnosis for Trustworthy Cyber-Physical Systems
Isadora Ferrao — Lab-STICC, Université de Bretagne Occidentale
Attack detection in Cyber-Physical Systems (CPS) is hindered by adversaries capable of preserving the local plausibility of measurements while exploiting dependencies among coupled subsystems. This work proposes the Knowledge-guided Heterogeneous Graph Network (KHGN), a neuro-symbolic architecture that represents the CPS as a typed heterogeneous graph, integrating three complementary dimensions: temporal sensor dynamics, physical topology of the system, and domain knowledge formalized through an ontology. The effectiveness of the approach is evaluated on the Secure Water Treatment (SWaT) industrial testbed for multi-stage attack detection.
-
14:30 - 15:00
DISIR — Détection d'intrusions dans les systèmes industriels par représentation temporelle-symbolique
Enzo Zamaï — Lab-STICC, Université Bretagne Sud
Les systèmes de contrôle industriels combinent aujourd'hui des réseaux informatiques (IT) et des processus physiques (OT), ce qui crée des environnements cyber-physiques exposés à une grande variété de cybermenaces. Cet exposé présente une représentation temporelle-symbolique des données : les observations successives sont organisées en matrices qui conservent leur ordre temporel, et un réseau de neurones convolutif léger les exploite, avec un mécanisme de pooling guidé par masque qui apprend l'horizon temporel pertinent pour chaque observation. La même architecture sert à la détection d'intrusions réseau (IT) et à la détection d'anomalies sur les séries temporelles de capteurs (OT, en non supervisé). Évaluée sur CICIDS2017, SWaT et WADI, l'approche obtient des performances compétitives avec des modèles de moins de 170 000 paramètres, et l'inférence reste en temps réel sur du matériel embarqué de type ARM et Raspberry Pi.
-
15:00 - 15:30
UFLFG — Unlearning for Learning: A Federated GNN Architecture for Intrusion Detection in IoT-Driven Systems
Abd El Rahman Omar — Lab-STICC, Université de Bretagne Occidentale
IoT systems, including defense sensor networks, drone swarms and industrial control systems, face increasingly sophisticated cyberattacks, while centralizing traffic data for detection raises confidentiality and sovereignty concerns. FEGLU is a federated architecture combining learning and unlearning for intrusion detection: each device models its communications as a graph analyzed by a hierarchical attention-based GNN fusing GraphSAGE, GAT and GIN, devices are dynamically grouped into security-aware clusters, and Byzantine-robust aggregation limits malicious updates. A cluster-level unlearning mechanism removes the influence of a compromised device without full retraining. On BoT-IoT, FEGLU reaches 97.76 % accuracy, retains 96.70 % after unlearning, keeps membership inference near random, and unlearns 18.5× faster than full retraining. The talk also discusses the limitations of this evaluation and directions toward per-attack metrics.
-
15:30 - 16:00
GRAAL: GRAph-based Analysis of Logs for Advanced AI-based Intrusion Detection Systems
Fanny Dijoud — équipe PIRAT (Inria, IRISA)
Intrusion Detection Systems (IDS) are essential tools for detecting and analyzing malicious system activity. Anomaly-based IDS have gained popularity due to their ability to detect zero-day attacks, but recent AI-based IDS still suffer from high false positive rates, non-scalability and biases, which limit their practicality in real-world deployments. GRAAL is an end-to-end unsupervised graph-based anomaly IDS that allows scalable multi-level detection, achieves a low false positive rate and provides interpretable outputs to assist analysts. It extracts features from heterogeneous provenance graphs, combining structural and attribute embeddings, and processes them with several autoencoder models detecting anomalies at both graph and system entity levels. Compared against six state-of-the-art IDS on several datasets, GRAAL achieves higher precision; the comparison also reveals methodological and reproducibility biases in current IDS evaluations. Work published at EuroS&P 2026.
-
16:00 - 16:30
Attaques par injection de flux contre les NIDS fondés sur les réseaux de neurones sur graphes
Matthieu Mouzaoui — équipe PIRAT (Centre Inria de l'Université de Rennes)
Bien que les systèmes de détection d'intrusion réseau fondés sur des réseaux de neurones sur graphes excellent en encodant la structure du trafic, cette dépendance structurelle introduit de nouvelles vulnérabilités face aux attaques adverses. Les attaques existantes restent peu réalistes : accès en boîte blanche, budget de requêtes trop élevé, ou manipulations de charge utile qui compromettent l'exploit lui-même. Cet exposé propose une attaque en boîte noire, où seule l'étiquette prédite est observée, qui contourne la détection en injectant uniquement des flux de trafic supplémentaires valides, préservant l'intégrité fonctionnelle de l'exploit. Le problème combinatoire est formulé comme une maximisation faiblement sous-modulaire, résolue à l'aide d'un GNN de substitution local et d'une recherche gloutonne guidée par l'influence, avec une garantie d'approximation en temps polynomial. Travaux publiés à ESORICS 2026.
-
16:30 - 16:45
Conclusion de la journée