文章总结： 黑客利用供应链蠕虫入侵AI音乐生成器Suno，泄露的源代码证实其系统性抓取YouTube、Deezer等平台超38万小时版权音频用于模型训练，并包含数十万用户个人信息。此事为RIAA等唱片公司的版权诉讼提供了关键证据，尤其证实了Suno绕过技术保护措施的指控，潜在法定赔偿金超90亿美元。该事件揭示了AI行业数据获取与用户保护的双重标准，建议企业强化端点零信任架构，建立严格的训练数据合规审查与许可机制，并提升数据泄露透明度。 综合评分： 82 文章分类： 数据泄露,AI安全,供应链安全,漏洞分析,威胁情报

黑客泄露源代码证实Suno系统性抓取多平台版权音乐，AI训练数据合规性再遭拷问

原创

网空闲话 网空闲话

网空闲话plus

2026年7月20日 06:59 北京

在小说阅读器读本章

去阅读

2026年7月15日，科技媒体404 Media发布重磅调查：一名网名为“ellie.191”的黑客入侵AI音乐生成器Suno内部系统，窃取了2023年至2024年间的源代码及训练数据集文档。泄露文件首次从技术层面证实，Suno通过系统性抓取YouTube Music、Deezer、Genius、Pond5、Jamendo、Freesound及国际乐谱库项目等多个平台，积累了长达数十年的音频资料用于模型训练。同期，黑客还获取了数十万Suno用户的个人联系信息及Stripe支付记录，部分用户证实从未收到任何数据泄露通知。此次事件将AI音乐行业长期潜藏的数据来源不透明、版权合规争议与用户隐私保护三重危机同时推至台前。

一、入侵路径：供应链蠕虫攻破员工终端

404 Media记者杰森·科布勒披露，黑客利用名为Shai-Hulud的供应链蠕虫攻击了Suno一名员工的系统。该工具专门窃取GitHub和云服务登录凭证，表明Suno在端点安全与访问权限管控上存在可被利用的薄弱环节。黑客向404 Media表示没有特定动机，仅称“我喜欢入侵任何东西”。

Suno发言人在声明中承认，公司曾于2025年11月发现“一起有限的安全事件，但很快得到控制”，强调泄露“主要涉及已不再使用的过时代码，没有敏感个人信息遭到泄露”。对于Stripe支付信息，发言人表示“Suno无法通过Stripe获取客户的完整信用卡号码”，并认为根据适用隐私法律“个人违规通知没有必要”，公司已依加州法律提交了训练数据披露文件。然而，多位信息遭泄露的用户向404 Media证实，未收到任何形式的通知。这一处理方式引发广泛质疑：一家以“开放互联网”为由大量抓取外部数据的企业，对自身用户数据的保护与事后透明度却远低于公众预期。

二、泄露数据全貌：从抓取指令到“数十年音频”

泄露文件包含Suno训练数据流水线的清晰印记。一份代码注释明确列出了抓取来源：“genius_hq、youtube_music、freesound、jamendo、imp、deezer、ytm_tagged”，并注明“非音乐内容将被过滤掉”。名为“youtube_music”的文件记录已抓取“2,013,545个音乐片段”。

更系统的数据集注释揭示了各来源的具体时长：113,879小时的youtube_music、152,162小时的ytm_tagged、62,117小时的Pond5音乐、19,514小时的IMSLP、17,615小时的Genius、12,287小时的Deezer、3,726小时的Jamendo、410小时的Freesound，以及103小时的musescore_lyrics。仅上述标注的音频时长合计已超过38万小时，相当于四十余年的连续音频。

除音乐平台外，代码显示Suno通过PodcastIndex服务收集了约42万个播客，每个播客至少有五个半小时的剧集，试图下载约一百万小时的音频内容。另一段代码显示Suno在YouTube上专门搜索歌曲的无伴奏版本，以提取纯净人声。为此，Suno使用了第三方公司Bright Data的代理服务器从YouTube抓取歌曲。

值得注意的是，多来源细节与Suno此前“遵守付费墙、密码保护等措施”的公开声明形成矛盾。代码中提到的Deezer系付费订阅服务，Pond5同样需付费访问。Genius本身不直接托管歌曲，但允许Apple Music订阅用户通过其网站播放歌曲和试听片段——这意味着抓取行为极可能涉及利用平台订阅账户进行批量下载。

三、版权诉讼白热化：合理使用抗辩遭遇反规避指控

此次泄露为唱片业与Suno之间已持续多时的法律战提供了关键证据。

Suno在诉讼中公开承认，其训练数据包含“几乎所有可在公开互联网上获取的、质量尚可的音乐文件”，总计数千万首录音，并主张根据合理使用原则，使用受版权保护材料进行训练合法。但RIAA于2025年9月提交修正诉状，提出一项独立于合理使用争议的指控：Suno通过“流媒体抓取”方式直接从YouTube获取录音，并绕过该平台旨在阻止未经授权下载的“滚动密码”加密技术。这一行为若成立，违反的是《版权法》反规避条款，与复制行为本身是否构成合理使用无关。404 Media指出，泄露代码证实了RIAA的技术指控。

2026年5月，环球音乐集团与索尼音乐请求法院将涉案作品数量从560件扩大至61,026件，这些作品系通过音频指纹技术在Suno训练数据中识别。数量的剧增使法定赔偿金理论上限从约8,400万美元飙升至超90亿美元，法官尚未裁决。每件侵权作品法定赔偿最高15万美元，每次规避技术措施最高2,500美元。

平台方的反应呈现分裂态势。华纳音乐集团于2025年11月与Suno达成和解并建立许可合作，Suno同时收购了华纳旗下的票务平台Songkick。而总部位于卢森堡的授权平台Jamendo于2026年6月29日在同一法院单独起诉Suno，指控其未经商业许可使用约55,600条仅授权用于非商业学术用途的音轨，寻求至少1,780万欧元赔偿。Deezer则将自己定位为AI检测先锋，声称其工具能以99.8%准确率识别Suno等模型生成的曲目，已为超1,340万首AI歌曲添加标签，并从推荐中移除完全由AI生成的音乐。

四、行业模式拷问：并非孤例的数据获取逻辑

Suno案是AI行业系统性数据获取模式的缩影。404 Media此前已披露英伟达和Runway ML同样存在抓取YouTube视频训练模型的行为，其中英伟达案于2025年引发集体诉讼。从泄露代码看，Suno的数据采集并非偶然行为，而是有目的、有组织的工程化操作：明确列出目标平台、使用商业代理服务、专门搜索清唱版本以优化训练效果——这些细节呈现出的“系统性”特征，将削弱其“开放互联网合理使用”的叙事基础。

与此形成对照的是Suno的商业模式。该公司2026年6月刚筹集超4亿美元资金，其CEO Mikey Shulman去年在播客中称“大多数人并不享受他们花在制作音乐上的大部分时间”。当数十万用户数据同步遭泄露而受害用户未获任何正式通知时，AI公司“获取数据时主张开放，保护数据时选择沉默”的双重标准，正在加深公众对整个行业的不信任。

五、结语

黑客“ellie.191”的入侵行动，将AI音乐行业最隐秘的数据获取实践暴露在阳光之下。数十年的版权音频被系统性抓取，付费平台与非商业授权作品被纳入商业训练，规避技术保护措施的指控获得代码层面的佐证。当Suno试图在法庭上以“合理使用”为自己辩护时，泄露文件所揭示的技术手段与数据来源细节，可能成为影响诉讼走向的关键变量。此案的最终结果，将为全球AI训练的版权边界与数据伦理提供一份具有坐标意义的司法样本。

【闲话简评】

Suno事件表面上是AI公司与唱片业的版权博弈，深层则折射出美国以法律工具维护其内容产业全球竞争力的战略意图。RIAA的诉讼不仅针对一家公司，更旨在为AI时代的版权规则划定美国主导的边界。对中国AI企业而言，此案具有三重警示：其一，供应链安全，Shai-Hulud蠕虫通过员工端点突破即获取核心代码，企业须强化GitHub与云服务的零信任架构；其二，训练数据合规，无差别抓取面临反规避与版权侵权的双重法律风险，须建立严格的数据来源审查与许可机制；其三，用户数据伦理，以“法律未要求”为由选择不通知受害用户，虽可能规避短期处罚，却将造成难以修复的信任赤字。在AI全球治理规则加速成型的窗口期，中国AI产业须在法律底线之上确立更高的技术与伦理标准，方能在国际竞争中掌握规则制定的话语权。

参考文献

[1] Jesse Weatherbed. Report: Hacked files show Suno stole decades of audio from protected platforms [EB/OL]. The Verge, 2026-07-16. https://www.theverge.com/ai-artificial-intelligence/966072/suno-ai-music-training-scraping-youtube-hack.

[2] Jason Koebler. Hack Reveals Suno AI Music Generator Scraped YouTube, Deezer, and Genius [EB/OL]. 404 Media, 2026-07-15. https://www.404media.co/hack-reveals-suno-ai-music-generator-scraped-youtube-deezer-and-genius/.

[3] Mandy Dalugdug. Suno scraped YouTube and Deezer to train AI, leaked code obtained by hacker reveals – and could strengthen UMG and Sony legal case [EB/OL]. Music Business Worldwide, 2026-07-16. https://www.musicbusinessworldwide.com/suno-scraped-youtube-deezer-and-genius-to-train-its-ai-hacked-code-reveals/.

[4] Devesh Beri. Suno AI Music Generator Accused of Stealing Songs From YouTube, Deezer, Genius, and More [EB/OL]. ExtremeTech, 2026-07-17. https://www.extremetech.com/internet/suno-ai-music-generator-accused-of-stealing-songs-from-youtube-deezer-genius.

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：网空闲话plus 网空闲话 网空闲话《黑客泄露源代码证实Suno系统性抓取多平台版权音乐，AI训练数据合规性再遭拷问》