Suno 遭駭客洩露原始碼：證實從 YouTube 等平臺抓取海量音訊訓練

AI 生成音樂的底褲，這次被駭客直接扒了下來。

一直以來，Suno 都堅稱自己用的是公開網際網路上的資料，屬於合理使用。但它到底從哪抓的歌、抓了多少，外界始終只能猜。直到最近，一名駭客攻破了 Suno 的系統，並把當年的原始碼和內部資料打包給了媒體 404 Media。

洩露的資料像一份詳盡的進貨單，坐實了唱片業對它的所有指控。

38 萬小時音樂，連清唱音訊都不放過

這名代號為 ellie.191 的駭客表示，自己在 2025 年 11 月通過供應鏈攻擊拿到了 Suno 員工的憑據，隨後下載了大量 2023 年和 2024 年的程式碼倉庫。

程式碼註釋裡清楚寫著各種抓取來源，包括 YouTube Music、Deezer、Genius 歌詞庫，以及 Pond5、Jamendo、Freesound 等免版稅和商用音樂庫，甚至連古典樂譜庫 IMSLP 和 MuseScore 都在裡面。

抓取規模相當驚人。一份專門針對 YouTube Music 的檔案顯示，當時它已經吃進了超過 201 萬個音訊切片。內部資料集統計更是達到了 11.3 萬小時的 YouTube Music、15.2 萬小時標記過的 YouTube 音訊、6.2 萬小時 Pond5 音樂，再加上 Deezer 和 Genius 的資料，累計音訊超過 38 萬小時，相當於幾十年的播放時長。

為了訓練人聲，Suno 還專門在 YouTube 上搜刮各種清唱版本來提取純人聲。除了音樂，程式碼還顯示他們曾通過 PodcastIndex 抓取了大約 100 萬小時的播客音訊。

更打臉的是抓取手段。程式碼顯示 Suno 使用了代理服務商 Bright Data 來繞過限制爬取 YouTube，這也直接印證了美國唱片業協會 RIAA 的指控，即 Suno 故意規避技術保護進行流媒體抓取。

使用者資料也丟了，官方卻選擇瞞著

除了訓練集的秘密，這次攻擊還波及了大量真實使用者。

駭客拿到了數十萬 Suno 客戶的資訊，包含郵箱地址、電話號碼以及在 Stripe 上的部分信用卡支付資訊。404 Media 聯絡了其中幾位使用者，對方證實自己確實註冊過，但此前從未收到過任何洩密通知。

Suno 發言人隨後證實了 2025 年 11 月確實發生過安全事件，但堅稱那是已被迅速控制的有限事件。官方表示涉及的主要是已經停用的舊程式碼，Suno 本身看不到使用者的完整信用卡號，因此按照隱私法律不需要通知個人。

但無論怎麼解釋，原始碼被盜和使用者資料外洩已經發生，Suno 當初試圖掩蓋的痕跡正在變成法庭上的鐵證。

為什麼重要

對普通創作者和使用者來說，Suno 這次暴露的問題非常現實。如果你是付費使用者，你的賬號、手機號和部分支付記錄可能已經在駭客手裡，而官方甚至沒打算主動提醒你。如果你指望用 Suno 商業化，它的法律風險正在急劇升高，生成的作品未來很可能面臨版權清理的連帶麻煩。

對整個行業而言，生成式 AI 的黑盒正在被硬生生撬開。此前 AI 公司面對侵權指控，最喜歡的擋箭牌就是合理使用，把訓練集當成最高機密拒不交代。但這次洩露的細節太具體了，用代理服務繞過反爬機制、精準搜刮平臺人聲，這些行為很可能會直接踩中數字千年版權法 DMCA 關於禁止技術規避的紅線。

我們認為，Suno 這一步走得既冒險又被動。技術上用代理工具粗暴洗劫平臺，管理上又守不住員工憑據，事發後還想借著舊程式碼的名義息事寧人。在三大唱片公司的訴訟圍剿下，這份被駭客公開的進貨單，很可能會成為壓垮 Suno 合理使用辯護的關鍵砝碼。