Spring AI ONNX 漏洞：注入与模型替换

Spring AI与ONNX关键漏洞：SQL注入、JSONPath缺陷及模型替换风险

2026年3月，Spring AI与ONNX Runtime被曝出多个严重安全漏洞。集成数据库（如MariaDB）时，Spring AI易受SQL注入攻击；在处理用户数据过程中，存在JSONPath注入风险。而在ONNX中，通过onnx.hub.load加载模型时，信任验证机制可被绕过，导致恶意模型被替换。这些漏洞直接影响依赖模型与用户数据交互的现实AI系统。

Spring AI漏洞详情

Spring AI将大语言模型（LLM）与各类模型无缝集成至Spring应用，包括数据库访问功能。主要问题如下：

• SQL注入：当数据库查询未对输入进行过滤时，攻击者可注入恶意代码，窃取查询日志、聊天记录或用户资料。
• JSONPath注入：未经过滤的用户输入允许在多用户场景下篡改数据，进而读取或修改其他用户的敏感信息。

在共享数据环境（如聊天系统、内容生成平台、CRM集成）中，风险显著加剧。受影响版本需立即修补。

ONNX模型替换风险

ONNX提供跨框架通用模型格式，并支持基于Hub的模型加载。当前漏洞允许在调用onnx.hub.load时绕过信任校验，从而部署恶意.onnx文件。

潜在后果取决于系统架构：

• 模型权重被替换后，逻辑行为异常，可能导致服务崩溃或误导性输出。
• 若管道包含转换器，可能通过处理器漏洞实现远程代码执行（RCE）。

ONNX模型本质上如同容器——从不可信源加载即引入系统级风险。

这些框架如何潜伏于基础设施中

Spring AI与ONNX常以非集中化方式部署，难以追踪。

Spring AI常见应用场景：

• 内部文档检索与CRM智能推荐助手。
• 由原型逐步演变为生产环境的应用。
• 与外部LLM集成的Spring服务。

ONNX典型用途：

• 推荐系统与评分服务。
• MLOps流程中实现框架统一。
• 嵌入式模型的第三方产品。

资产清查显示，此类部署广泛存在于各机器学习团队及现成解决方案中。

风险缓解建议

针对安全与运维团队：应将AI组件隔离至专用安全区域。

• 资产盘点：

- 列出所用框架、负责人、数据类型及运行环境（生产/测试）。

- 识别高风险项：数据库访问权限、多用户模式。

• 更新与加固：

- 升级Spring AI并增加注入测试。

- 对ONNX：强制白名单机制，禁用自动加载功能。

• 流程规范：

- 在CRM或计费层级实施AI项目评审机制。

- 统一核心组件标准（如模型Hub、LLM代理）。

一周行动清单

Spring AI：

• 扫描代码库与依赖项。
• 审计数据访问路径与多用户场景。
• 更新版本并部署自动化SQL/JSONPath检测。

ONNX：

• 定位onnx.hub.load调用点及自动更新配置。
• 限制来源仅限白名单。
• 向厂商索取补丁包与验证日志。

通用措施：

• 将AI框架纳入CVE监控范围。
• 指定AI架构责任人。
• 在DevSecOps流程中明确框架安全要求。

核心要点

• Spring AI中的SQL与JSONPath注入威胁数据库及多用户系统的用户数据安全。
• ONNX中绕过信任校验可导致模型替换，存在远程代码执行（RCE）风险。
• AI框架必须建立资产清单并实施独立安全分区。
• AI项目上线前须完成全面安全评估。
• AI技术栈的漏洞监控应作为团队中专职职责。

— Editorial Team