7月17日消息,404 Media 发布调查报道:一名自称 ellie.191 的黑客向其提供了从 AI 音乐生成公司 Suno 窃取的内部材料,包括 2023 至 2024 年的源代码。代码中的抓取指令和数据集清单显示,Suno 从 YouTube Music、Deezer、Genius、Pond5 等平台系统性抓取了合计约 38 万小时的音频和歌词用于模型训练。这是 Suno 训练数据来源首次出现具体的技术证据,时间恰逢唱片公司起诉 Suno 案件的关键阶段。黑客同时获取了数十万用户的邮箱、电话号码和 Stripe 支付信息,Suno 已确认事件但表示未通知用户。 入侵发生在八个月前,用户未获通知
据 404 Media 报道,这名黑客于 2025 年 11 月利用名为 Shai-Hulud 的供应链蠕虫获取一名 Suno 员工的登录凭证,进而访问公司的 GitHub 仓库和云服务凭证。Shai-Hulud 于 2025 年 9 月首次出现,通过感染 npm 开源包批量窃取开发者凭证,11 月正值其第二波传播期。黑客随后将窃得的材料提供给 404 Media。
除源代码外,黑客还访问了数十万 Suno 用户的电子邮箱、电话号码和 Stripe 支付信息。据 TechCrunch 报道,其中包括部分信用卡卡号。Suno 发言人回应称,公司在 2025 年 11 月发现入侵后迅速控制了事态,泄露的主要是"不再使用的过时源代码";由于支付由 Stripe 处理、公司不留存完整信用卡卡号,未泄露敏感个人信息,因此认为没有义务通知用户。
九个数据集合计约 38 万小时,YouTube Music 占近七成
404 Media 查看的代码包含详细的抓取指令和数据集清单。一个名为 youtube_music 的文件记录,截至最后更新时已抓取 2,013,545 个音乐片段,代码注释要求"过滤掉非音乐内容"。另一份清单列出九个数据集:YouTube Music 相关的两个库合计约 26.6 万小时,素材音乐库 Pond5 约 6.2 万小时,国际乐谱库 IMSLP 约 1.95 万小时,歌词网站 Genius 约 1.76 万小时,Deezer 约 1.23 万小时,Jamendo、Freesound 和 MuseScore 歌词合计约 4,200 小时。全部相加约 38 万小时,相当于连续播放数十年的音频,其中 YouTube Music 两个库占近七成。
代码还涉及通过 RSS 源抓取的播客内容。其规模在二手转述中存在冲突,从数十万条到约 100 万小时不等,原始报道的这部分内容在付费墙后,暂无法逐一核对。代码同时显示,部分抓取经由代理服务进行。
泄露落在诉讼的关键节点上
这份材料的分量来自时机。2024 年 6 月,美国唱片业协会(RIAA)代表环球音乐、索尼音乐和华纳音乐在波士顿联邦法院起诉 Suno,指控其从 YouTube 直接抓取(stream-ripping)并大规模侵犯版权。Suno 在诉讼文件中承认,模型训练于"开放互联网上可获取的几乎所有合理质量的音乐文件",涉及数千万份录音,但主张这构成合理使用。唱片公司则主张,故意规避 YouTube 的反抓取保护违反《数字千年版权法》,也违反 YouTube 的服务条款。404 Media 明确表示,其查看的代码证实了 RIAA 关于 Suno 直接从 YouTube 抓取的指控。
诉讼本身正处于活跃期。华纳音乐已于 2025 年 11 月与 Suno 和解并达成授权协议,双方正合作开发新模型。环球和索尼继续诉讼,并寻求将指控的侵权录音从 560 首扩大至 61,026 首,Suno 则请求法官阻止这一扩容。Suno 的驳回动议今年 3 月完成口头辩论,法官尚未裁决,一场即决判决(summary judgment)听证会定于 7 月举行。Deezer 在对 Variety 的声明中称,生成式 AI 的训练数据应始终获得明确授权并给予公平补偿,"任何侵权都应受到制裁",公司正在评估可选项。Suno 的竞品 Udio 也面临类似的 YouTube 抓取指控。 真正的分界不在"公开可用",而在"规避"
Suno 的"过时代码"声明存在一个明显张力:代码来自 2023 至 2024 年,恰好覆盖诉讼针对的训练期。对法庭而言,代码今天是否仍在使用并不关键,关键是它记录了当时的实际行为。这次泄露把合理使用之争从原告的推测变成被告自己的工程文档,这是它超出普通数据泄露新闻的地方。
更值得注意的是法律重心的偏移。即使法院最终认定用公开内容训练构成合理使用,《数字千年版权法》第 1201 条关于规避技术措施的规定仍是一条独立的违法路径:绕过 YouTube 的反爬机制本身即可构成违法,与抓取后的用途是否正当无关。代码中代理服务的痕迹让这一条变得具体。市场对这起事件的误读风险在另一侧:支付由 Stripe 处理,Suno 不存完整卡号,受影响用户面对的实际风险主要是邮箱和电话号码被用于钓鱼,而非资金损失。
接下来看 7 月听证会和通知义务认定
最近的观察点是 7 月的即决判决听证会:法官是否会触及这份泄露材料,以及通过黑客渠道获得、经媒体核实的材料在民事程序中能被赋予多大分量,将决定它的实际影响。用户侧的问题是通知义务,Suno 单方面认定无需通知,但这一结论是否站得住取决于适用的数据泄露法规,最终可能要由监管机构而非公司自己回答。Deezer 的"评估选项"是否会转化为新的法律行动,播客抓取规模等付费墙后的细节何时得到核对,也值得跟踪。