AI 音樂平台 Suno 在 2025 年遭遇資料外洩。攻擊者使用名為 Shai-Hulud 的蠕蟲入侵該公司的系統，並外洩內部原始碼，揭示其訓練資料的來源。外洩檔案最早由 404 Media 報導，內容顯示 Suno 從 YouTube Music 抓取超過 113,879 小時、從股票資料庫 Pond5 抓取 62,117 小時、從 Deezer 抓取 12,287 小時，另有其他來源。此次入侵也揭露客戶電子郵件、電話號碼以及 Stripe 的付款資訊；攻擊者稱這些影響到「數十萬」名使用者。Suno 在 2025 年 11 月辨識出這起事件，並將其描述為有限的，主要涉及已過時的原始碼。此次外洩為美國唱片業協會（RIAA）在其 2024 年對 Suno 提起的訴訟所提出的指控提供了技術層面的印證。該訴訟指控 Suno 直接從 YouTube 鈔錄歌曲——而 Suno 以合理使用抗辯來爭執。
外洩原始碼文件：訓練資料來源與規模
外洩內容包含來自 2023 年與 2024 年的抓取指令與內部紀錄。根據 404 Media 審閱的內部檔案註解，訓練資料庫包含來自 YouTube Music 的 113,879 小時、帶有標籤的 YouTube 追蹤（曲目）152,162 小時、來自 Pond5 的 62,117 小時、來自 Deezer 的 12,287 小時，以及一個標示為 genius_hq 的資料集中的 17,615 小時；該資料集與透過 Genius 蒐集的素材相關。程式碼也記載了計劃透過 RSS 訂閱，下載約 100 萬小時的播客音訊。單是追蹤 YouTube Music 進料的其中一個內部檔案，就記錄了 2,013,545 段音樂片段。
攻擊者聲稱使用了一款名為 Shai-Hulud 的惡意程式蠕蟲，其名稱取自法蘭克・赫伯特（Frank Herbert）《沙丘》中的沙蟲。Suno 是線上規模最大的 AI 音樂生成器之一，讓使用者輸入文字描述，並在數秒內取得完整歌曲。要建立這項能力，需要龐大的訓練資料集——一組音訊檔案，用來教導模型不同流派與風格聽起來的樣子。
Suno 承認：涉及客戶資料
攻擊者聲稱已存取與數十萬名客戶相關的紀錄，其中包括電子郵件、電話號碼以及與 Stripe 相關的資訊。Suno 對此爭執，稱敏感的個人資訊並未遭到入侵。公司表示其在 2025 年 11 月辨識出該事件，並將其稱為有限範圍。Suno 認定暴露主要涉及不再使用的過時原始碼，並得出結論：在適用的隱私法下不需要對個別客戶進行通知。使用者正在透過新聞報導得知這起外洩事件。
Suno 先前已依 California's AB 2013 法律披露：其訓練資料可能包含受智慧財產權保護的音樂，並列出其語料庫包含數千萬個公開可取得的音樂音訊檔案。這次入侵所帶來的差異在於更具體——法律文件出於設計之故相對含糊，而外洩的程式碼則不是。
RIAA 訴訟指控：外洩檔案予以印證
美國唱片業協會（RIAA）在 2025 年對其先前於 2024 年針對 Suno 提出的訴訟所作的修訂中指控：該公司是直接從 YouTube 鈔錄歌曲。該訴訟每一起侵權事件尋求 150,000 美元賠償。被駭的原始碼印證了 RIAA 的核心指控。Suno 與 Sony 與 UMG 的案件仍在聯邦法院進行。該公司的估值為 54 億美元，平台上約有 1 億名使用者。
Udio 也在由同一個主要唱片公司聯盟提起的平行訴訟中成為目標，並於 2025 年 11 月與 Warner Music 達成和解，正轉向採用授權平台。2026 年 6 月，《大西洋月刊》（The Atlantic）發布了四個可搜尋的資料庫，文件化用於訓練 AI 模型的音樂內容——其中一個包含 1,200 萬首曲目，另一個有 900 萬首，另外兩個各約 10 萬首。
常見問題
Suno 的外洩在 2025 年暴露了哪些資料？
此次外洩暴露了內部原始碼，內容記錄 Suno 從 YouTube Music 抓取 113,879 小時、從 Pond5 抓取 62,117 小時、從 Deezer 抓取 12,287 小時，以及其他來源。攻擊者也聲稱存取了數十萬名使用者的客戶電子郵件、電話號碼與 Stripe 付款資訊。
Suno 何時辨識出這起資安事件？
Suno 在 2025 年 11 月辨識出該事件，並將其描述為有限的，主要涉及不再使用的過時原始碼。公司認定在適用的隱私法下不需要對個別客戶進行通知。
這起外洩與 RIAA 對 Suno 的訴訟有何關聯？
外洩的原始碼印證了美國唱片業協會（RIAA）在其 2024 年訴訟中提出的指控：Suno 直接從 YouTube 鈔錄歌曲。該訴訟每一起侵權事件尋求 150,000 美元，並仍在聯邦法院與 Sony 與 UMG 的案件中持續進行。
