На ONNX там (уточняю, https://hiddenlayer.com/research/weaponizing-machine-learnin... ) тоже клевета, но уже наполовину.

1. ONNX действительно позволяет исполнять свой код ... потому что кодирует вычислительный граф.
2. Но по-умолчанию все эти узлы безопасные, без ввода/вывода. Ну код там — это как чисто математическая формула в калькуляторе.
3. И вычислительный граф там не Тьюринг-полный. Если бы был Тьюринг-полный — можно было бы построить виртуальную машину и на ней попробовать атаковать железо через rowhammer. Но он не Тьюринг-полный!
4. ... если не используются кастомные расширения. Которые фреймворку ещё и реализовать надо, и каких не будет ни в одном адекватном софте для инференса.

Так что предъяву к ONNX можно сделать такую же, как и предъяву к скрипту в транзакции Биткоина (каждая транзакция биткоина содержит скрипт, который выполняется каждым честным узлом, о ужас!). То есть чисто формально код выполняется, но на деле пометка ONNX как опасного — это грязная манипуляция.