Technical cyber threat investigator (enquêteur sur les cybermenaces liées à l’IA)

Le technical cyber threat investigator, ou enquêteur sur les cybermenaces liées à l’IA, est un spécialiste du renseignement qui étudie les acteurs détournant des modèles d’IA pour mener des opérations cyber malveillantes. Il rapproche des indices, suit leurs campagnes et produit des analyses exploitables par les équipes de sécurité. Son livrable central est un renseignement argumenté sur les acteurs et leurs opérations.

Cette spécialisation est documentée chez Anthropic et OpenAI. Elle s’appuie sur le socle de la cyber threat intelligence, ou CTI : collecter, analyser et transmettre du renseignement aux interlocuteurs capables de l’utiliser. L’intitulé ne décrit donc pas simplement un analyste qui emploie l’IA pour accélérer sa veille. Ici, le détournement des systèmes d’IA constitue l’objet de l’enquête.

Les investigations croisent les informations accessibles dans l’organisation et des recherches en sources ouvertes. L’enquêteur cherche à comprendre les comportements adverses, les infrastructures utilisées et les liens entre plusieurs activités. Il restitue ses conclusions avec leurs limites, puis contribue aux recommandations de détection et de perturbation des campagnes. L’enquête ne lui confère pas, à elle seule, une autorité de sanction.

Pour cadrer le poste, précisez son rattachement, ses interlocuteurs de sécurité et les décisions attendues de ses rapports. Définissez aussi les données auxquelles il pourra accéder et les personnes autorisées à décider d’une action. Ces choix dépendent de l’organisation.

Enquêteur cyber lié à l’IA, analyste SOC et pentester : qui fait quoi ?

• L’enquêteur suit les acteurs et les campagnes pour produire du renseignement opérationnel.
• L’analyste SOC reste centré sur la qualification des alertes de sécurité, hors du mandat décrit ici.
• Le pentester intervient sur l’évaluation offensive de la sécurité, distincte de cette enquête de renseignement.

La frontière avec l’application des règles d’usage mérite également d’être précisée : cette fiche couvre le suivi d’acteurs et les rapports de renseignement, plutôt que l’ensemble des abus d’une plateforme. Elle exclut la recherche sur les capacités cyber des modèles et le développement de services agentiques de cybersécurité.

Le premier enjeu consiste à rendre une enquête utile à une décision de sécurité. Une accumulation d’indices ne suffit pas : les destinataires doivent comprendre ce qui relie les activités observées, ce qui reste hypothétique et quelle action l’analyse permet d’envisager. Le poste doit donc associer une lecture technique des opérations à une restitution compréhensible.

L’objet étudié exige aussi de distinguer l’usage d’un modèle d’IA de son rôle réel dans une campagne. Microsoft documente notamment des usages liés au phishing, au code malveillant et au soutien des opérations. Ces observations portent sur les campagnes suivies par cet opérateur. Elles ne mesurent pas la fréquence générale des attaques utilisant l’IA.

Pour le recruteur, le risque est de confondre aisance avec les modèles et capacité d’enquête cyber. Un candidat peut connaître les grands modèles de langage sans savoir relier une infrastructure à une série d’activités. Inversement, une expérience de renseignement cyber mérite d’être examinée pour déterminer quels acquis sur les usages de l’IA restent à développer. Ciblez les responsabilités effectivement confiées plutôt que la seule familiarité avec un intitulé.

La solidité des conclusions compte autant que leur précision technique. Le cadre du CERT-EU distingue la fiabilité d’une source de la crédibilité d’une information. Il rattache également le niveau de confiance aux éléments disponibles et à la force du raisonnement. Une identité inconnue ne doit pas empêcher de décrire un ensemble d’activités avec les réserves nécessaires.

Exemple fictif : plusieurs messages suspects présentent des ressemblances de rédaction. Avant d’en déduire une campagne utilisant l’IA, demandez une analyse qui confronte aussi les comportements observés, les infrastructures et le contexte des messages. La seule apparence linguistique ne suffit pas à soutenir cette conclusion.

Enfin, clarifiez qui reçoit les recommandations et qui décide de leur mise en œuvre. Recruter un enquêteur sans destinataire identifié pour ses rapports expose à produire des analyses dont l’utilisation reste indéterminée.

• Traduire les besoins de sécurité en questions de renseignement sur les acteurs détournant les systèmes d’IA.
• Croiser les données internes accessibles avec les recherches en sources ouvertes pour relier des activités à des campagnes.
• Analyser les comportements adverses et les infrastructures associés aux opérations étudiées.
• Suivre les modes opératoires des acteurs et documenter les liens entre les activités observées.
• Développer des traitements et scripts pour faciliter l’analyse des données d’enquête.
• Produire des rapports de renseignement contextualisés pour les destinataires de sécurité.
• Formuler des recommandations de détection et de perturbation, en distinguant conclusions établies et hypothèses.
• Coopérer avec les équipes chargées de mettre en œuvre les mesures décidées.

Un parcours utile prépare à enquêter sur des opérations cyber, à traiter leurs traces et à expliquer ce que les éléments recueillis permettent de conclure. Le socle CTI décrit par l’ENISA comprend la sécurité des systèmes et des réseaux, la programmation, les procédures d’attaque, les cadres de partage du renseignement et la divulgation responsable. Ces acquis fournissent une base pour comprendre les campagnes qui détournent l’IA.

Les voies d’accès ne se limitent pas à une formation unique. Anthropic mentionne un bachelor ou une combinaison équivalente de formation et d’expérience. OpenAI cite des expériences transférables en renseignement sur les menaces, en réponse aux incidents ou en sécurité offensive. Ces exemples de recrutement invitent à examiner les responsabilités exercées, sans transformer le diplôme d’un employeur en condition générale.

Dans un parcours CTI, recherchez des travaux reliant plusieurs activités à une campagne et des rapports destinés à une équipe de sécurité. Pour une expérience en réponse aux incidents, intéressez-vous à l’analyse des traces et à la reconstruction d’opérations. Dans un parcours offensif, demandez comment la compréhension des techniques d’attaque peut soutenir une enquête sur des acteurs.

La connaissance des grands modèles de langage complète ces acquis. Distinguez les compétences déjà mobilisées en enquête et celles que le candidat devra développer sur les usages cyber malveillants de l’IA. Si une montée en compétence est nécessaire, prévoyez un interlocuteur technique capable de l’accompagner. Le niveau d’autonomie à l’arrivée doit correspondre aux investigations réellement confiées et à l’expertise disponible dans l’équipe.

Pour évaluer ce profil, adaptez les étapes suivantes aux données accessibles, aux destinataires des rapports et à l’autonomie attendue dans votre organisation.

1. Définir les critères avec un interlocuteur technique

Préparez une grille couvrant l’analyse cyber, le rapprochement de données, le raisonnement sous incertitude et la rédaction de renseignement. Ajoutez la compréhension des détournements de modèles d’IA.

Pour chaque critère, précisez ce que la personne devra réaliser seule et ce qui pourra être discuté avec l’équipe. Reliez le niveau attendu aux investigations confiées dès l’arrivée.

Si votre entreprise ne dispose pas de cette expertise, associez un spécialiste CTI externe à l’évaluation technique. Gardez un responsable interne pour apprécier l’utilité des livrables et les conditions de coopération.

2. Examiner une réalisation partageable

Demandez au candidat de décrire une enquête qu’il peut présenter sans divulguer de données confidentielles. Faites préciser la question initiale, les informations disponibles, sa contribution et les destinataires du résultat.

Explorez un rapprochement décisif : quels indices l’ont soutenu et quelle autre explication aurait pu convenir ? Demandez ce qui aurait conduit à réviser la conclusion.

Retenez comme signal favorable une distinction claire entre travail personnel, apports d’autres équipes et résultats collectifs. Une attribution très affirmative sans explication des éléments disponibles appelle un approfondissement.

3. Proposer un cas d’enquête délimité

Exemple fictif : fournissez un dossier de traces synthétiques, d’extraits de sources ouvertes et de chronologies décrivant plusieurs activités suspectes autour d’un modèle d’IA.

Demandez au candidat de formuler une question de renseignement, de rapprocher les indices pertinents et de présenter plusieurs hypothèses. Faites-lui expliquer quelles informations supplémentaires il chercherait.

Examinez sa manière de distinguer la fiabilité d’une source de la crédibilité d’une information. Cette distinction figure dans le cadre CTI du CERT-EU.

Demandez un court traitement de données si la programmation appartient aux responsabilités du poste. Évaluez le choix des données et l’explication du résultat autant que le code.

Cherchez un raisonnement traçable et des conclusions proportionnées aux indices. Approfondissez les regroupements fondés uniquement sur une ressemblance de rédaction ou une proximité temporelle.

4. Tester la restitution et la coopération

Demandez une courte note destinée à une équipe de sécurité, puis une explication orale pour un responsable moins technique. Faites préciser les observations, les hypothèses et le niveau de confiance.

Demandez quelle recommandation pourrait être examinée sans attendre une attribution certaine. Vérifiez que le candidat identifie aussi les limites de son autorité et les interlocuteurs qui décideraient des suites.

Pour un poste d’encadrement, explorez la répartition des enquêtes et la discussion des analyses au sein de l’équipe. Pour un poste d’expert, concentrez l’échange sur la coopération avec les équipes opérationnelles.

5. Croiser les références et décider

Avec l’accord du candidat, interrogez des références sur les responsabilités réellement exercées, la qualité des restitutions et la réaction aux éléments contradictoires. Respectez les informations qu’elles peuvent partager.

Comparez les observations recueillies à la grille initiale. Distinguez les compétences démontrées, celles qui restent à approfondir et les besoins d’accompagnement. Consignez les écarts qui empêcheraient de confier les premières enquêtes prévues.