Хакер взломал сервис генерации музыки Suno и получил доступ к исходному коду проекта, который пролил свет на то, откуда компания черпала обучающие данные. Судя по украденным данным, разработчики массово выкачивали музыку, тексты песен и подкасты с YouTube Music, Deezer, Genius и других платформ.

Издание 404 Media сообщает, что хакер под ником ellie.191 передал редакции полученные в результате взлома материалы. Среди них оказался код, датированный 2023–2024 годами, с инструкциями для скрапинга и статистикой собранных датасетов. По словам ellie.191, он сумел проникнуть в инфраструктуру сервиса благодаря тому, что один из сотрудников Suno был скомпрометирован во время атаки червя Shai-Hulud.

В одном из похищенных хакером файлов содержится информация о том, что Suno загрузила 2 013 545 музыкальных клипов с YouTube Music. Другой документ перечисляет более 113 000 часов аудио с этой платформы, 152 000 часов из набора ytm_tagged, 62 117 часов из библиотеки Pond5, 19 514 часов из International Music Score Library Project (IMSLP), 17 615 часов материалов Genius и 12 287 часов музыки из Deezer.

Также в списке фигурируют Jamendo, Freesound и MuseScore. В общей сложности речь идет об аудиозаписях продолжительностью в несколько десятилетий.

Утечка показала, что отдельные скрипты прицельно искали на YouTube акапельные версии песен, чтобы выделять из них вокал. Для массового скачивания разработчики, судя по всему, использовали прокси-инфраструктуру Bright Data.

Кроме того, через сервис PodcastIndex разработчики Suno отобрали 420 000 подкастов, у которых насчитывалось не менее пяти получасовых выпусков, и планировали скачать около миллиона часов записей.

Журналисты отмечают, что эта утечка подтверждает одно из главных обвинений, которые Американская ассоциация звукозаписывающих компаний (RIAA) выдвигает против Suno: представители музыкальной индустрии утверждают, что в Suno напрямую копировали треки с YouTube, обходя механизмы защиты.

Ранее в рамках судебных разбирательств представители Suno признавали, что их модели обучались на «практически всех музыкальных файлах приемлемого качества», доступных в открытом интернете. По оценкам компании, в этот набор вошли десятки миллионов записей. Однако разработчики настаивали на том, что обучение ИИ на защищенных авторским правом произведениях подпадает под fair use — норму американского права, которая в определенных случаях позволяет использовать чужие материалы без согласия правообладателя. Один из связанных с этим исков уже урегулирован.

Хакер ellie.191 заявил, что также получил доступ к данным сотен тысяч клиентов Suno, включая их email-адреса, телефонные номера и информацию из платежной системы Stripe. Несколько пользователей подтвердили журналистам 404 Media, что действительно регистрировались в Suno с указанными в утечке номерами, однако никаких уведомлений о взломе они не получали.

Представители Suno заявили изданию, что взлом произошел еще в ноябре 2025 года и затронул в основном устаревший исходный код, который больше не используется. В компании утверждают, что персональные данные утечка не затронула, а полные номера банковских карт пользователей вообще недоступны Suno, поскольку платежи обрабатывает Stripe.