Утечка кода Suno показала источники аудиообучения

В похищённом исходном коде компании Suno обнаружены инструкции и журналы, фиксирующие загрузку аудиофайлов с YouTube Music, Deezer, Pond5 и других площадок, используемых при подготовке данных для обучения моделей. Файлы содержат перечисления наборов и метаданные загрузок, а также планы по сбору подкастов.

По имеющимся данным, к системам Suno получил доступ пользователь с псевдонимом ellie.191. В материалах расследования упоминается вредоносный червь Shai-Hulud, распространявшийся через поддельные пакеты npm и похищавший учетные данные, токены и ключи. Роль конкретного пользователя в заражении или последующем доступе остаётся предметом проверки; рассматривается также вариант использования ранее скомпрометированных учётных данных.

В фрагментах утёкших данных обнаружены личные сведения, включая адреса электронной почты, телефонные номера и элементы информации, связанные со Stripe. Suno подтвердила факт инцидента и сообщила, что он был обнаружен в ноябре 2025 года и быстро локализован. В компании отметили, что в основном был затронут устаревший код и что полные номера банковских карт в Stripe не хранятся. Технического отчёта с подробным перечнем затронутых систем и категорий данных не публиковали.

В коде сохранены точные объёмы и длительность сборов. Один файл фиксировал загрузку 2 013 545 музыкальных клипов с YouTube Music общей продолжительностью 113 879 часов, другой набор ytm_tagged включал 152 162 часа размеченных записей. Среди прочих указаны 62 117 часов из Pond5, 12 287 часов с Deezer, 17 615 часов в наборе genius_hq, 19 514 часов из международного проекта библиотечных партитур, 3 726 часов с Jamendo, 410 часов с Freesound и 103 часа в наборе musescore_lyrics. В одном файле описан план загрузить около 1 миллиона часов подкастов примерно из 420 000 RSS‑лент. Из материалов не следует, были ли все эти планы полностью реализованы или вошли в финальные обучающие наборы.

В коде также упоминаются прокси‑сервисы Bright Data для отправки запросов через сторонние IP‑адреса при сборе аудио с YouTube. Наличие таких ссылок в файлах не равнозначно доказательству обхода конкретных технических средств защиты, но фиксирует использование прокси при запросах.

В ряде судебных процессов звукозаписывающие компании требуют расширения исков против Suno. В одном из обращений к суду указано 61 026 записей, которые истцы идентифицировали в обучающем массиве с помощью технологии аудиофингерпринтинга. Ранее Suno признавала, что десятки миллионов записей в их обучающем наборе могли включать произведения, права на которые принадлежат третьим лицам, при этом компания утверждает, что использование носит трансформативный характер и подпадает под добросовестное использование. Суд ещё не вынес решение о расширении состава претензий.

Ещё одна группа требований связана с разделом 1201 Закона США об авторском праве в цифровую эпоху (DMCA). Истцы утверждают, что для получения файлов применялись инструменты, позволяющие превращать потоковое аудио в загружаемые файлы. Suno сохраняет позицию, что ограничения платформ контролируют копирование, а не сам доступ к произведениям. Утекший код фиксирует загрузки и использование прокси, но не доказывает однозначно обход конкретных технических средств защиты.

Контекст включает предыдущие договорённости и релизы: в ноябре 2025 года одна из крупных звукозаписывающих компаний урегулировала спор с Suno и заключила лицензионное соглашение; в марте 2026 года Suno представила модель v5.5 с функциями персонализации и генерации музыки голосом. Разработчики ранее отмечали, что с весны 2023 года собирают десятки миллионов общедоступных аудиофайлов и связанных метаданных.

Полный объём и состав утечки остаются неподтверждёнными внешней проверкой. По словам лица, заявляющего о взломе, у него есть данные о сотнях тысяч пользователей; независимая экспертиза этих утверждений продолжается.