Formation · RAG & applications LLM · Sécurité & DevSecOps

RAG & applications LLM pour les équipes sécurité et DevSecOps

Développer des applications RAG et LLM : embeddings, bases vectorielles, chunking, retrieval, évaluation, coûts et protection des données.

Durée
2 jours (14 h)
Format
En ligne ou en présentiel
Langue
Allemand ou anglais
Participants
sessions ouvertes ou intra-entreprise
Attestation
Attestation de participation

Présentation

Cette formation associe RAG & applications LLM aux processus quotidiens du domaine Sécurité & DevSecOps. Les participants travaillent sur des scénarios réalistes et repartent avec des prompts, des workflows et des checklists immédiatement utilisables.

La génération augmentée par récupération, ou RAG, relie les modèles de langage à vos propres connaissances : manuels, contrats, tickets, wikis ou données produits deviennent interrogeables et sont fournis au modèle comme contexte au moment de la requête. Vous obtenez des assistants qui répondent sur des bases solides, sources à l’appui, au lieu d’halluciner. Pendant ces deux jours, vous construisez un pipeline RAG complet, de la préparation des documents à la génération des réponses en passant par les embeddings et la base vectorielle, et identifiez les leviers qui font réellement la qualité.

Le second jour mène du prototype à une application robuste. Vous comparez les stratégies de chunking, combinez recherche sémantique et lexicale, appliquez reranking, filtres de métadonnées et reformulation des requêtes, puis mesurez leur effet grâce à des évaluations systématiques. Sont également abordés le prompt caching, la maîtrise des coûts, l’optimisation de la latence, les droits d’accès au niveau des documents et une exploitation conforme au RGPD et à l’AI Act européen. Vous saurez quand un RAG classique suffit, quand une grande fenêtre de contexte ou un retrieval agentique convient mieux, et comment justifier vos choix d’architecture.

Les assistants de codage IA et les agents transforment la sécurité applicative sur deux fronts. Ils accélèrent la modélisation des menaces, la revue de code et l’écriture de règles de détection, mais ils génèrent aussi du code à un rythme que les contrôles de sécurité classiques peinent à suivre. Les équipes sécurité et DevSecOps s’appuient donc sur l’IA pour trier les résultats SAST, proposer des correctifs, durcir les pipelines CI/CD et repérer les erreurs de configuration dans l’infrastructure as code. Il faut un cadre maîtrisé : moindre privilège, aucun secret dans le contexte, pull requests tracées et validation humaine. Vous apprendrez à faire de l’IA un levier pour votre sécurité tout en maîtrisant les risques du code généré, de l’injection de prompt et des intégrations d’outils.

La formation se déroule en direct – en ligne dans une classe virtuelle ou en présentiel dans nos salles à Munich, Salzbourg, Berlin, Augsbourg, Hanovre, Brême, Stuttgart et Kaiserslautern. Nous pouvons également l’organiser en intra pour votre équipe.

À qui s’adresse cette formation ?

  • Ingénieurs en sécurité applicative et security champions au sein des équipes de développement
  • Ingénieurs DevSecOps et plateforme responsables des pipelines CI/CD
  • Pentesteurs et membres de red teams
  • Analystes SOC et ingénieurs en détection
  • Développeurs chargés de sécuriser la chaîne d’approvisionnement logicielle

Les défis concrets que nous traitons

  • Un afflux de résultats SAST, DAST et SCA avec une forte proportion de faux positifs
  • Les revues de sécurité deviennent un goulet d’étranglement face au volume de code produit avec l’IA
  • Des erreurs de configuration dans Terraform, les manifestes Kubernetes ou les politiques cloud passent inaperçues
  • De nouvelles surfaces d’attaque liées aux intégrations de LLM, à l’injection de prompt et aux agents trop privilégiés

Objectifs pédagogiques

  • Vous construisez un pipeline RAG complet, de la préparation des documents aux réponses sourcées.
  • Vous choisissez de façon argumentée modèle d’embeddings, stratégie de chunking et base vectorielle.
  • Vous améliorez la pertinence des résultats grâce à la recherche hybride, au reranking et aux filtres de métadonnées.
  • Vous mesurez la qualité de votre application par des évaluations systématiques et détectez les régressions.
  • Vous utilisez des agents IA pour le tri, la revue et la correction sans perdre la maîtrise des modifications sensibles.
  • Vous intégrez des contrôles assistés par IA dans vos pipelines CI/CD, en complément de vos scanners SAST, SCA et IaC.
  • Vous évaluez et réduisez les risques propres au code généré, à l’injection de prompt et aux accès des agents aux outils.

Programme

Jour 1

Module 1 Fondamentaux du RAG et des applications LLM
  • Anatomie d’un pipeline RAG : ingestion, indexation, recherche, génération
  • Comprendre les embeddings : similarité sémantique, dimensions, choix du modèle
  • Arbitrer entre RAG, fine-tuning et grandes fenêtres de contexte
  • Sorties structurées, citation des sources et gestion des hallucinations
Module 2 Préparation des documents et chunking
  • Extraire de façon fiable PDF, documents bureautiques, HTML et tableaux
  • Stratégies de chunking : taille fixe, selon la structure, sémantique, avec chevauchement
  • Enrichir les métadonnées et générer des résumés contextuels par chunk
  • Mise à jour incrémentale et suppression de documents dans l’index
Module 3 Bases vectorielles et stratégies de recherche
  • Comparer bases et extensions vectorielles comme pgvector, Qdrant, Weaviate ou OpenSearch
  • Recherche hybride combinant vecteurs et plein texte avec BM25
  • Reranking, filtres de métadonnées et reformulation des requêtes
  • Retrieval agentique : le modèle décide lui-même des étapes de recherche et des outils
Module 4 Évaluation et assurance qualité
  • Constituer et entretenir des jeux de test à partir de vraies questions
  • Métriques de recherche comme le rappel et la précision, métriques de réponse comme la fidélité
  • Utiliser et calibrer à bon escient un LLM-as-a-judge
  • Tests de non-régression lors de changements de chunking, de modèle ou de prompt

Jour 2

Module 5 Exploitation, coûts et protection des données
  • Prompt caching, traitement par lots et choix du modèle pour réduire les coûts
  • Optimiser la latence et diffuser les réponses en streaming
  • Droits au niveau des documents, cloisonnement des clients et protection contre l’injection de prompt
  • Protection des données : localisation, sous-traitance, politique de suppression, RGPD et AI Act européen
Module 6 Atelier pratique : Sécurité & DevSecOps
  • Modélisation des menaces accélérée
  • Tri des résultats SAST
  • Revue de code sécurisée
  • Durcissement IaC et conteneurs
  • Ingénierie de détection
  • Sécuriser la supply chain
Module 7 Protection des données, qualité & mise en pratique
  • Code source, informations de vulnérabilité et journaux sont très sensibles : vous apprenez quelles données peuvent être confiées à un service d’IA, comment tenir les secrets hors du contexte et comment articuler l’usage de l’IA avec NIS2, le Cyber Resilience Act, le RGPD et l’AI Act européen.
  • Règles du jeu pour un usage sûr de l’IA en équipe
  • Vérifier les résultats : faits, sources, tests et principe des quatre yeux
  • Plan d’action personnel pour les 30 prochains jours
  • Questions ouvertes, perspectives et ressources pour aller plus loin

Cas pratiques de votre domaine

Modélisation des menaces accélérée

Dériver des analyses de menaces selon STRIDE à partir de descriptions d’architecture et de diagrammes de flux, identifier les frontières de confiance et formuler les contre-mesures comme exigences testables pour le backlog.

Tri des résultats SAST

Confronter les résultats d’analyse statique au code réel, évaluer l’atteignabilité et l’exploitabilité, écarter les faux positifs de façon argumentée et préparer des correctifs ciblés sous forme de pull request.

Revue de code sécurisée

Faire examiner les pull requests sous l’angle des injections, des défauts d’autorisation, de la désérialisation non sûre et des erreurs cryptographiques, avec renvoi aux catégories OWASP et justification de chaque constat.

Durcissement IaC et conteneurs

Analyser modules Terraform, charts Helm et Dockerfiles pour détecter rôles trop permissifs, ports exposés, chiffrement absent ou images de base vulnérables, puis générer des versions durcies appuyées sur du policy as code.

Ingénierie de détection

Rédiger des règles Sigma, des signatures YARA et des requêtes SIEM à partir de descriptions de menaces, les valider sur des jeux de test et documenter les techniques MITRE ATT&CK associées.

Sécuriser la supply chain

Exploiter les SBOM, prioriser les dépendances vulnérables, analyser les chemins de mise à jour et leurs ruptures de compatibilité, puis ajouter au pipeline signature, attestation de provenance et épinglage des dépendances.

Projets pratiques possibles

Bot de tri des vulnérabilités

Un script qui lit les fichiers SARIF du pipeline, déduplique les résultats, les enrichit du contexte de code et crée des tickets priorisés avec proposition de correctif.

Hook de détection de secrets

Un hook pre-commit doté de motifs propres aux formats de jetons internes, d’une liste d’exceptions et d’indications claires pour révoquer un secret divulgué.

Générateur de modèle de menaces

Une petite application web qui transforme la description d’un système en modèle de menaces structuré, avec flux, risques et mesures, exportable en document.

Prérequis

De solides compétences en Python (ou à défaut en TypeScript), des bases en bases de données et API REST ainsi qu’une première expérience des API de LLM. Vous avez une expérience pratique du développement ou de l’exploitation et des bases en sécurité applicative, par exemple l’OWASP Top 10 et les pipelines CI/CD.

Prérequis techniques

Un ordinateur portable avec Python, Git, Docker et un éditeur de code, ainsi qu’un accès API à au moins un fournisseur de LLM et d’embeddings. Des identifiants pour les exercices peuvent être fournis si nécessaire.

Protection des données & conformité

Code source, informations de vulnérabilité et journaux sont très sensibles : vous apprenez quelles données peuvent être confiées à un service d’IA, comment tenir les secrets hors du contexte et comment articuler l’usage de l’IA avec NIS2, le Cyber Resilience Act, le RGPD et l’AI Act européen.

Dates proposées

Toutes les dates sont indicatives – votre date souhaitée est toujours possible.

  • mer. 25 novembre 2026 – jeu. 26 novembre 2026 En ligne Demander
  • mer. 9 décembre 2026 – jeu. 10 décembre 2026 Brême Demander
  • jeu. 14 janvier 2027 – ven. 15 janvier 2027 En ligne Demander
  • lun. 18 janvier 2027 – mar. 19 janvier 2027 Salzbourg Demander
  • mar. 26 janvier 2027 – mer. 27 janvier 2027 En ligne Demander
  • jeu. 11 février 2027 – ven. 12 février 2027 Kaiserslautern Demander

Questions fréquentes

Quand privilégier le RAG plutôt que le fine-tuning ?

Le RAG s’impose lorsqu’un modèle doit s’appuyer sur des connaissances récentes, volumineuses ou changeantes, et citer ses sources. Le fine-tuning agit plutôt sur le style, le format ou un comportement spécialisé. Dans beaucoup de projets, le RAG est la voie la plus rapide, la moins coûteuse et la plus maîtrisable, parfois complétée par un fine-tuning ciblé.

Quelle base de données vectorielle choisir ?

Cela dépend du volume de données, de l’infrastructure existante, des besoins de filtrage et du mode d’exploitation. Si vous utilisez déjà PostgreSQL, pgvector vous mènera souvent loin ; les solutions spécialisées se distinguent sur les gros volumes et la recherche hybride. Vous comparez plusieurs options en pratique pour définir vos critères de choix.

Comment exploiter un RAG en conformité avec le RGPD ?

Il faut choisir des fournisseurs offrant une localisation des données adaptée et un contrat de sous-traitance, contrôler les droits au niveau des documents, prévoir une politique de suppression pour l’index et les journaux et minimiser les données personnelles. Pour les données très sensibles, des modèles auto-hébergés sont envisageables. Nous examinons ces options sur des architectures réalistes.

Le code généré par l’IA présente-t-il un risque de sécurité ?

Les assistants IA reproduisent parfois des pratiques non sûres, des bibliothèques obsolètes, voire des noms de paquets inexistants. Le risque reste maîtrisable si le code généré passe les mêmes contrôles que le code écrit à la main : revue, SAST, analyse des dépendances et tests. Pendant la formation, vous mettez en place ces garde-fous tout en utilisant l’IA pour corriger plus vite.

Un agent IA peut-il appliquer seul des correctifs de sécurité ?

Nous recommandons une approche graduée : l’agent analyse, propose des correctifs et ouvre des pull requests, tandis que la fusion reste validée par un humain. Pour des tâches routinières à faible risque, comme une mise à jour de dépendance avec tests au vert, davantage d’automatisation est envisageable. Vous apprenez à concevoir droits, sandbox et journaux d’audit en conséquence.

Combien coûte la formation « RAG & applications LLM pour les équipes sécurité et DevSecOps » ?

La formation coûte 949 € HT forfaitaires par participant – en ligne comme en présentiel. Sont inclus 2 jour(s) de formation avec un formateur en direct, les supports de cours, un environnement d’exercice et une attestation de participation.

Puis-je proposer ma propre date ?

Oui. Nos dates sont indicatives. Dans le formulaire, vous pouvez à tout moment indiquer librement la date ou la période souhaitée – nous vérifions les disponibilités et confirmons sous un jour ouvré.

La formation a-t-elle lieu en ligne ou en présentiel ?

Les deux sont possibles : en direct dans une classe virtuelle ou en présentiel à Munich, Salzbourg, Berlin, Augsbourg, Hanovre, Brême, Stuttgart ou Kaiserslautern. Nous pouvons aussi l’organiser en intra pour votre équipe.

Autres formations pour les équipes sécurité et DevSecOps

Autres formations RAG & applications LLM

Les 29 formations RAG & applications LLM

RAG & applications LLM · MunichRAG & applications LLM · SalzbourgRAG & applications LLM · BerlinRAG & applications LLM · AugsbourgRAG & applications LLM · HanovreRAG & applications LLM · BrêmeRAG & applications LLM · StuttgartRAG & applications LLM · KaiserslauternRAG & applications LLM · En ligne