Vulnérabilités Spring AI ONNX : Injections et substitution de modèle

Vulnérabilités critiques dans Spring AI et ONNX : injection SQL, failles JSONPath et substitution de modèles

En mars 2026, des vulnérabilités critiques ont été découvertes dans Spring AI et ONNX Runtime. Spring AI est vulnérable à l'injection SQL lorsqu'il est intégré à des bases de données comme MariaDB, ainsi qu'à l'injection JSONPath durant le traitement des données utilisateur. Dans ONNX, la vérification de confiance peut être contournée lors du chargement de modèles via onnx.hub.load, permettant une substitution malveillante de modèles. Ces failles affectent les systèmes réels d'IA où les modèles interagissent avec les données utilisateur et l'infrastructure.

Détails des vulnérabilités dans Spring AI

Spring AI intègre les LLM et les modèles dans les applications Spring, y compris l'accès aux bases de données. Les problèmes majeurs incluent :

• Injection SQL : se produit lorsque les requêtes sur la base de données sont construites sans nettoyage des entrées. Les attaquants peuvent injecter un code malveillant pour extraire les journaux de requêtes, les historiques de chat ou les profils utilisateurs.
• Injection JSONPath : une entrée utilisateur non filtrée permet de manipuler les données dans des scénarios multi-utilisateurs, facilitant la lecture ou la modification des informations d'autres clients.

Les risques s’accentuent dans les environnements partagés — systèmes de chat, génération de contenu, intégrations CRM. Les versions concernées nécessitent une mise à jour immédiate.

Risques liés à la substitution de modèles dans ONNX

ONNX propose un format de modèle interopérable entre frameworks et un système de chargement basé sur un hub. Une vulnérabilité permet de contourner les contrôles de confiance lors de l’appel à onnx.hub.load, autorisant le déploiement de fichiers .onnx malveillants.

Les conséquences dépendent de l’architecture utilisée :

• Remplacement des poids du modèle altère la logique, entraînant un comportement anormal.
• Les pipelines comprenant des convertisseurs peuvent permettre une exécution à distance (RCE) via l’exploitation de gestionnaires.

Les modèles ONNX sont des artefacts similaires à des conteneurs — leur chargement depuis des sources non fiables introduit des risques systémiques.

Où ces frameworks se cachent dans l’infrastructure

Spring AI et ONNX sont souvent déployés sans suivi centralisé.

Cas d’utilisation courants de Spring AI :

• Assistants internes pour la recherche documentaire et les suggestions CRM.
• Prototypes qui sont devenus des systèmes en production.
• Intégrations Spring avec des LLM externes.

Applications ONNX :

• Services de recommandation et de notation.
• Pipelines MLOps pour standardiser les frameworks.
• Produits tiers intégrant des modèles embarqués.

Les audits d’inventaire révèlent ces déploiements à travers les équipes ML et les solutions prêtes à l’emploi.

Recommandations pour atténuer les risques

Pour les équipes sécurité et DevOps : isoler la pile IA dans une zone de sécurité dédiée.

• Inventaire :

- Établir une liste des frameworks, leurs responsables, les types de données et les environnements (prod/test).

- Identifier les risques : accès à la base de données, mode multi-utilisateur.

• Mises à jour et renforcement :

- Mettre à jour Spring AI et ajouter des tests d'injection.

- Pour ONNX : imposer une liste blanche de sources fiables ; désactiver le chargement automatique.

• Processus :

- Mettre en place des revues de projets IA au niveau CRM ou facturation.

- S’aligner sur les composants stratégiques (hubs, proxies LLM).

Check-list d’actions en une semaine

Spring AI :

• Scanner les dépôts et dépendances.
• Auditer l’accès aux données et les scénarios multi-utilisateurs.
• Mettre à jour les versions et implémenter des tests automatisés SQL/JSONPath.

ONNX :

• Localiser onnx.hub.load et les configurations de mise à jour automatique.
• Restreindre les sources à une liste blanche.
• Demander des correctifs aux fournisseurs et des logs de validation.

Général :

• Ajouter les frameworks IA à la surveillance CVE.
• Désigner un responsable de la pile IA.
• Documenter les exigences dans les workflows DevSecOps.

Points clés

• Les injections SQL et JSONPath dans Spring AI mettent en danger la confidentialité des données utilisateur dans les bases de données et les systèmes multi-utilisateurs.
• Le contournement des contrôles de confiance dans ONNX permet la substitution de modèles, pouvant mener à une exécution à distance (RCE).
• Les frameworks IA exigent un inventaire rigoureux et une segmentation sécurité dédiée.
• Passer des projets IA en production nécessite une revue complète de sécurité.
• La surveillance des CVE pour les piles IA doit être une fonction distincte au sein de l’équipe.

— Editorial Team