Suno源代碼遭洩露:黑客曝光其大規模抓取音樂數據訓練AI模型

生成式 AI 音樂平台 Suno 近期爆發重大資安事件，內部原始碼及數據蒐集相關資訊遭駭客外流，意外揭露該公司長期以來透過自動化程式，從 YouTube Music、Deezer、Genius 等串流與歌詞網站大量擷取音樂、歌詞及音訊素材，用於訓練其 AI 音樂生成模型。這起洩密事件不僅讓外界看清 Suno 的訓練資料來源全貌，也為該公司早已身陷的版權訴訟帶來更不利的變數。根據外媒報導，這起入侵行動發生於 2025 年底，一名帳號為「ellie.191」的駭客利用供應鏈攻擊手法，成功取得 Suno 員工的登入憑證，進而竊取公司內部機敏檔案。

外洩的資料中，一個包含超過 200 萬個 YouTube 影片片段的資料夾格外引人注目，顯示 Suno 仰賴 YouTube 作為主要音訊訓練來源之一。除此之外，駭客還發現 Suno 的爬蟲系統自 Genius 平台獲取了超過 1.7 萬小時的歌詞數據，從 Deezer 取得約 1.2 萬小時的歌曲內容，並從音效素材庫 Pond5 下載超過 6.2 萬小時的音頻素材。外洩的原始碼中還包含一套篩選機制，目的在於過濾非音樂類檔案，確保進入訓練流程的資料都具備足夠的音樂品質。這套機制能自動排除談話性節目、環境噪音或非結構化的音訊，進一步凸顯 Suno 在資料蒐集作業上投入了大量工程資源。

然而，這種大規模、未經授權的抓取行為，正好踩在版權保護的敏感邊界上。事實上，美國唱片工業協會（RIAA）早已代表環球音樂、索尼音樂與華納音樂等三大唱片集團對 Suno 提起訴訟，指控其未經許可，使用大量受版權保護的音樂來訓練 AI 模型。Suno 過去的抗辯主要倚賴「合理使用」原則，宣稱公開網路上的數據可以用於 AI 訓練，無須另行取得授權。但此次洩露的代碼與數據抓取記錄，等於直接證明了 Suno 確實有系統性地從商業音樂平台擷取受保護內容，未來這些內幕很可能成為版權方在法庭上舉證的關鍵武器。

除了訓練數據來源的爭議，駭客同時也取得部分用戶資料庫的內容，包括電子郵件地址、電話號碼，以及透過 Stripe 處理的部分信用卡元數據。雖然 Suno 後續對此回應稱，這是一起「有限安全事件」，被竊取的是部分較老舊的程式碼，且完整信用卡號碼並未外洩，因此未主動向用戶發出通知。但資安專家認為，即便只是元數據與聯絡資訊外流，仍可能對用戶構成釣魚攻擊或身分盜用的風險。這起事件再次將生成式 AI 產業的數據合規問題推向風口浪尖。

隨著各國監管機構逐漸收緊對 AI 訓練資料來源的審查，Suno 的案例突顯出一個核心矛盾：AI 公司若要快速提升模型品質，往往需要海量的高品質音樂與音頻數據，但這些數據大多受到版權保護，若要一一取得授權，不僅成本高昂，談判過程也十分漫長。Suno 選擇先抓再說的策略，如今卻因資安漏洞導致內部實情曝光，不僅可能讓既有官司雪上加霜，也可能促使更多權利人對其提出新訴訟。從更宏觀的角度來看，Suno 事件不僅是單一企業的資安危機，更是整個生成式 AI 行業在數據取得、版權授權與用戶隱私保護之間面臨的縮影。當 AI 音樂生成技術越來越普及，創作者與版權方的對立也將持續升溫。

未來，類似 Suno 這樣的平台勢必得在技術發展與法律合規之間找到更平衡的解決方案，否則類似的爭議與訴訟只會層出不窮。