音楽AI「Suno」のコード流出、YouTubeなどから数百万曲の収集が判明

生成AIの学習データという最大のブラックボックスが、ハッカーによって暴かれました。

大手音楽生成AIのSunoはこれまで、オープンなウェブ上の公開データを利用しているとして、著作権法上のフェアユースを主張してきました。しかし404 Mediaが入手した流出ソースコードにより、同社がどのように音源を収集していたのかが判明しました。

38万時間超の音楽とポッドキャストを収集

ellie.191と名乗るハッカーは、サプライチェーン攻撃で従業員の認証情報を奪い、2023年から2024年にかけての社内コードを入手したとされています。

流出したファイルには、YouTube Music、Deezer、歌詞サイトのGenius、さらにPond5やJamendoといった素材サイトからのスクレイピング指示が含まれていました。YouTube Music関連のログだけでも、最終更新時点で200万本以上の音楽クリップを取り込んでいたことが記されています。

データセットの規模は膨大です。YouTube Music関連で合計26万時間を超えるほか、Pond5から約6万2000時間、クラシック楽譜サイトIMSLPやDeezerからも数万時間が収集され、全体で38万時間以上の楽曲データに達していました。さらに、ボーカル学習用としてYouTube上でアカペラ音源を検索して収集していた形跡や、PodcastIndex経由で約100万時間のポッドキャストをダウンロードしようとした記録も残されています。

スクレイピングにはBright Dataなどのプロキシサービスが使われていた模様で、米レコード協会が訴訟で指摘していたストリームリッピングの疑惑を裏付ける内容となっています。

ハッカーは数百万人規模とされる顧客データや、Stripeの決済情報の一部、電話番号、メールアドレスにもアクセスしたと主張しています。Suno側は2025年11月にセキュリティ事案があったことを認めたものの、古いコードが対象であり被害は軽微だったとして、ユーザーへの個別通知は行っていませんでした。

なぜ重要か

クリエイターや利用者にとって、今回の件はサービスの持続可能性に直結する問題です。課金ユーザーの情報が流出していながら知らされていなかった不信感に加え、生成された楽曲を使った商用利用が将来的に法的な巻き添えを食らう懸念が現実味を帯びてきました。

業界全体にとっても、生成AIのフェアユース論争に決定的な影響を与えるはずです。ネット上にあるものを学習させたという抽象的な説明に対し、プロキシを使って制限を回避しながら音声を抜き出していた事実が示されたことで、デジタルミレニアム著作権法が禁じる保護手段の回避行為に該当する可能性が高まりました。

裏で強引なスクレイピングを行いながら、認証情報の管理ミスで自社のコードまで流出させたSunoの対応は、あまりに杜撰だったと言わざるを得ません。大手レーベルとの訴訟が続く中、この流出データは原告側にとって決定的な証拠となり、AI音楽業界全体の潮目を変えることになりそうです。