Злом Suno виявив шокуючі масштаби піратства: 113 000 годин YouTube Music та дані мільйонів користувачів
У результаті цілеспрямованої атаки на інфраструктуру музичного ІІ-сервісу Suno, у відкритий доступ потрапив вихідний код, який проливає світло на методи збору навчальних даних. Хакер під псевдонімом ellie.191, використовуючи хробака Shai-Hulud, який поширювався через скомпрометовані npm-пакети, отримав доступ до систем компанії.
За моїми даними, шкідливе ПЗ викрадало облікові дані співробітників, що дозволило зловмиснику вивантажити не лише вихідний код, а й конфіденційну інформацію про сотні тисяч користувачів: адреси електронної пошти, номери телефонів та дані платіжної системи Stripe. Suno підтвердила факт зламу, виявленого ще в листопаді 2025 року, але наполягає, що інцидент торкнувся лише застарілого коду, а повні номери банківських карток не зберігаються. Однак компанія досі не опублікувала технічного звіту, що викликає серйозні питання.
Золота жила піратського контенту
Справжній шок викликали файли, що описують процес навчання моделей. У коді виявлено журнали завантажень, які демонструють, що Suno активно стягувала контент із провідних платформ, не маючи на це ліцензій. Один із файлів зафіксував завантаження 2 013 545 музичних кліпів з YouTube Music загальною тривалістю 113 879 годин. Додатково, набір з позначкою ytm_tagged включав ще 152 162 години розмічених записів.
Масштаби вражають: 62 117 годин з Pond5, 12 287 годин з Deezer, 17 615 годин текстів Genius, а також десятки тисяч годин із бібліотек музичних партитур та Freesound. Особливої уваги заслуговує план завантаження близько 1 мільйона годин подкастів із 420 000 RSS-стрічок. Для збору аудіо з YouTube розробники використовували проксі-сервіси Bright Data, маскуючи свої IP-адреси.
Юридичні наслідки: позов проти піратства
Цей витік відбувається на тлі запеклих судових розглядів. У травні 2026 року Universal Music Group та Sony Music Entertainment зажадали додати до позову проти Suno 61 026 записів, виявлених у навчальних даних. Лейбли стверджують, що Suno порушує DMCA, обходячи технічні засоби захисту YouTube за допомогою інструментів YT-DL та YT-DLP. Витік коду, на мою думку, є прямим доказом фактичної сторони звинувачень: він підтверджує масове завантаження з YouTube та використання проксі.
Варто зазначити, що в листопаді 2025 року Warner Music Group пішла іншим шляхом, уклавши ліцензійну угоду з Suno. Однак для Universal і Sony цей інцидент — потужний козир. Витік коду не просто компрометує Suno, він ставить під сумнів легітимність усієї моделі навчання генеративних ІІ-сервісів. Мій висновок: якщо суд визнає ці дії порушенням авторських прав, це створить небезпечний прецедент, який вдарить по всій індустрії ІІ-генерації контенту, змушуючи компанії або платити величезні ліцензійні відрахування, або повністю переглядати свої технології.