Витоки виявляють, що Suno передав тисячі годин даних Deezer, YouTube та Pond5 у свій ШІ

Хакер зламав платформу AI-музики Suno та вивів вихідний код, який детально документує, звідки взялися навчальні дані компанії.

Про витік вперше повідомила 404 Media, яка переглянула витік файлів. Це підтверджує те, що музична індустрія стверджувала в судах з 2024 року.

Зловмисник стверджує, що використав шкідливе програмне забезпечення під назвою черв'як Shai-Hulud — названий на честь величезних піщаних черв'яків з "Дюни" Френка Герберта. Suno, одна з найбільших онлайн-генераторів музики на базі ШІ, дозволяє користувачам вводити текстовий опис і отримувати повну пісню за кілька секунд; для створення цієї можливості потрібен був значний навчальний набір даних — колекція аудіофайлів, використаних для навчання моделі, щоб зрозуміти, як звучать різні жанри та стилі.

Витік матеріалів складається з інструкцій по збору даних та внутрішніх журналів з 2023 та 2024 років, пропонуючи рідкісний погляд на те, як ці канали насправді збираються.

Розподіл набору даних є специфічним. Згідно з коментарями до внутрішніх файлів, які переглянула 404 Media, навчальна бібліотека включала 113,879 годин YouTube Music, 152,162 години позначених треків YouTube, 62,117 годин з бібліотеки стокової музики Pond5, 12,287 годин з Deezer та 17,615 годин у наборі даних, позначеному genius_hq, пов'язаному з матеріалом, зібраним через Genius. Код також документував плани завантажити приблизно 1 мільйон годин подкастів через RSS-канали.

Один внутрішній файл, що відстежує лише споживання YouTube Music, зафіксував 2,013,545 музичних кліпів. Це мільйони записів, що охоплюють десятиліття аудіо — і апетит не обмежувався лише музикою.

Хакер стверджував, що отримав доступ до записів, пов'язаних з сотнями тисяч клієнтів, включаючи електронні адреси, номери телефонів та інформацію, пов'язану з Stripe. Suno заперечує, що чутлива особиста інформація була скомпрометована.

Компанія стверджує, що виявила інцидент у листопаді 2025 року та назвала його "обмеженим". Suno визначила, що витік в основному стосувався застарілого вихідного коду, який більше не використовується, і дійшла висновку, що індивідуальні сповіщення клієнтів не були необхідні відповідно до чинних законів про конфіденційність. Користувачі дізнаються про це лише зараз, через новинні повідомлення.

Ось у чому справа: Suno вже повідомила всім, хто готовий читати її власний веб-сайт, що щось подібне відбувається. Згідно з законом Каліфорнії AB 2013 — який вимагає від компаній ШІ розкривати свої практики навчання — компанія публічно визнала, що її навчальні дані можуть включати музику "підлягаючу захисту інтелектуальної власності" та перерахувала корпус у десятки мільйонів публічно доступних аудіофайлів музики. Що додає злом, так це специфіка: юридичний документ був навмисно розмитим, а витік коду — ні.

Обсяг навчання музики на базі ШІ вже ставав зрозумілим до того, як хтось зламав щось. У червні 2026 року The Atlantic опублікував чотири бази даних, які можна шукати, документуючи музику, використану для навчання моделей ШІ — одна містила 12 мільйонів треків, інша — 9 мільйонів, а ще дві — близько 100,000 кожна. Ви могли б знайти свого улюбленого артиста ще до того, як хакер передав комусь вихідний код.

Асоціація звукозаписної індустрії Америки стверджувала в поправці 2025 року до свого оригінального позову 2024 року проти Suno, що компанія безпосередньо краде пісні з YouTube — звинувачення, яке Suno оскаржила під захистом добросовісного використання. Позов вимагав 150,000 доларів за кожен випадок порушення. Зламаний вихідний код підтверджує центральне звинувачення RIAA.

Udio, яка стала мішенню в паралельному позові, поданому тією ж коаліцією великих лейблів, досягла угоди з Warner Music у листопаді 2025 року та зараз переходить на ліцензовану платформу. Справа Suno з Sony та UMG залишається активною у федеральному суді; оцінка компанії становить 5.4 мільярда доларів з приблизно 100 мільйонами користувачів на платформі.

Suno не відповіла на запит про коментар від Decrypt.