Suno 遭黑客泄露源码：证实从 YouTube 等平台抓取海量音频训练

AI 生成音乐的底裤，这次被黑客直接扒了下来。

一直以来，Suno 都坚称自己用的是公开互联网上的数据，属于合理使用。但它到底从哪抓的歌、抓了多少，外界始终只能猜。直到最近，一名黑客攻破了 Suno 的系统，并把当年的源码和内部数据打包给了媒体 404 Media。

泄露的数据像一份详尽的进货单，坐实了唱片业对它的所有指控。

38 万小时音乐，连清唱音频都不放过

这名代号为 ellie.191 的黑客表示，自己在 2025 年 11 月通过供应链攻击拿到了 Suno 员工的凭据，随后下载了大量 2023 年和 2024 年的代码仓库。

代码注释里清楚写着各种抓取来源，包括 YouTube Music、Deezer、Genius 歌词库，以及 Pond5、Jamendo、Freesound 等免版税和商用音乐库，甚至连古典乐谱库 IMSLP 和 MuseScore 都在里面。

抓取规模相当惊人。一份专门针对 YouTube Music 的文件显示，当时它已经吃进了超过 201 万个音频切片。内部数据集统计更是达到了 11.3 万小时的 YouTube Music、15.2 万小时标记过的 YouTube 音频、6.2 万小时 Pond5 音乐，再加上 Deezer 和 Genius 的数据，累计音频超过 38 万小时，相当于几十年的播放时长。

为了训练人声，Suno 还专门在 YouTube 上搜刮各种清唱版本来提取纯人声。除了音乐，代码还显示他们曾通过 PodcastIndex 抓取了大约 100 万小时的播客音频。

更打脸的是抓取手段。代码显示 Suno 使用了代理服务商 Bright Data 来绕过限制爬取 YouTube，这也直接印证了美国唱片业协会 RIAA 的指控，即 Suno 故意规避技术保护进行流媒体抓取。

用户数据也丢了，官方却选择瞒着

除了训练集的秘密，这次攻击还波及了大量真实用户。

黑客拿到了数十万 Suno 客户的信息，包含邮箱地址、电话号码以及在 Stripe 上的部分信用卡支付信息。404 Media 联系了其中几位用户，对方证实自己确实注册过，但此前从未收到过任何泄密通知。

Suno 发言人随后证实了 2025 年 11 月确实发生过安全事件，但坚称那是已被迅速控制的有限事件。官方表示涉及的主要是已经停用的旧代码，Suno 本身看不到用户的完整信用卡号，因此按照隐私法律不需要通知个人。

但无论怎么解释，源码被盗和用户数据外泄已经发生，Suno 当初试图掩盖的痕迹正在变成法庭上的铁证。

为什么重要

对普通创作者和用户来说，Suno 这次暴露的问题非常现实。如果你是付费用户，你的账号、手机号和部分支付记录可能已经在黑客手里，而官方甚至没打算主动提醒你。如果你指望用 Suno 商业化，它的法律风险正在急剧升高，生成的作品未来很可能面临版权清理的连带麻烦。

对整个行业而言，生成式 AI 的黑盒正在被硬生生撬开。此前 AI 公司面对侵权指控，最喜欢的挡箭牌就是合理使用，把训练集当成最高机密拒不交代。但这次泄露的细节太具体了，用代理服务绕过反爬机制、精准搜刮平台人声，这些行为很可能会直接踩中数字千年版权法 DMCA 关于禁止技术规避的红线。

我们认为，Suno 这一步走得既冒险又被动。技术上用代理工具粗暴洗劫平台，管理上又守不住员工凭据，事发后还想借着旧代码的名义息事宁人。在三大唱片公司的诉讼围剿下，这份被黑客公开的进货单，很可能会成为压垮 Suno 合理使用辩护的关键砝码。