Suno 遭入侵揭訓練數據疑似抓自 YouTube，舊源碼補上官方冇講嘅細節

入侵揭出嘅唔止客戶資料

Suno 遭入侵最值得睇嘅位，除咗資料外洩，仲有黑客據報攞到嘅舊源碼。TechCrunch 引述首報指，黑客聲稱喺 2025 年 11 月經供應鏈攻擊取得一名員工嘅憑證，之後接觸到 2023 至 2024 年源碼、訓練數據處理線索同客戶資料。TechLab 冇辦法獨立核實整批流出檔案，以下數字同做法都係引述報道，未經法院確認。

兩百萬段 YouTube Music，只係其中一批

404 Media 話，佢睇過嘅程式碼疑似指向 YouTube Music、Deezer、Genius、Pond5、Jamendo、Freesound、IMSLP 同 MuseScore 等來源。當中一個檔案記錄咗 2,013,545 段 YouTube Music 音樂片，另一批數據標示有 113,879 小時 YouTube Music 內容；程式碼仲疑似用 Bright Data 嘅 proxy 抓取 YouTube，特別搜尋 a cappella 版本去取得人聲素材。另一套流程據報鎖定約 42 萬個 podcast，計劃下載約 100 萬小時內容。

官方披露講咗規模，冇列出平台

Suno 喺 2026 年 1 月按加州 AB 2013 公開嘅訓練數據披露，承認模型用咗數以千萬計、來自公開網上嘅音樂檔案同 metadata，當中可能包含受知識產權保護嘅歌曲。公司話由 2023 年春季開始收集，工作仍然繼續；部分 post-training dataset 亦可能包含用戶 Content 同活動資料，Suno 稱會先移除 username 呢類識別資料。

呢批流出線索同官方講法大致吻合：資料源自公開網上、數量極大，收集時間亦由 2023 年開始。落差喺官方只寫「第三方網站」，冇逐一列出平台、作品或者授權狀態。Suno 話自己有遵守 paywall 同密碼保護，亦冇為受帳戶限制嘅網站特登開 login；呢句未回答有冇大量自動抓取 YouTube，亦冇回應有冇繞過防下載措施。公開可播同獲准批量下載係兩回事，不過抓取本身都唔代表法院已經判定侵權。

訴訟其實牽涉幾個唔同問題

法院仍要處理用受版權保護錄音訓練模型可唔可以屬 fair use；唱片公司嘅修訂申訴書另指控 Suno 用 stream ripping 繞過 YouTube 嘅 rolling cipher，觸犯 DMCA 反規避條文。YouTube 使用條款亦禁止未獲批准嘅 scraper、下載同規避防複製功能。違反平台條款、規避技術措施同訓練用途係咪 fair use，法律問題各自唔同。Warner 已同 Suno 和解；截至2026 年 7 月 2 日嘅法庭文件，UMG 同 Sony 嘅申索仍然繼續，未有最終裁決。

一個員工憑證點樣牽連成間公司

404 Media 指今次入侵同 Shai-Hulud worm 有關。按 Unit 42 嘅技術分析，呢類惡意 npm 套件會喺開發者電腦或 CI/CD 環境執行，搜尋 GitHub token、npm token、SSH key 同雲端 API key。攻擊者攞到有效憑證後，可以用可信員工身份登入；實際去到幾遠，就視乎嗰組 token 有咩權限。Suno 暫時冇公開涉事憑證嘅權限、MFA 狀態或者內部資料點樣分隔，所以未足以判斷邊道防線首先失守。

404 Media 據報亦見到客戶電郵、電話同 Stripe 付款資料，抽查嘅部分資料獲用戶確認。Suno 就話事故主要涉及已停用嘅舊源碼，冇敏感個人資料外洩，亦強調公司接觸唔到 Stripe 入面嘅完整信用卡號碼，所以冇逐一通知客戶。兩邊對「敏感」同影響範圍嘅定義明顯有落差。至於訓練數據爭議，舊源碼即使而家冇再用，仍可能記錄模型早期點樣建立，唔會因為版本過時就自然失去參考價值。

做歌同商業內容要留意啲咩

而家冇逐首可查嘅完整名單，單憑作品曾經放上 YouTube，判斷唔到有冇入過 Suno 模型。用 Suno 上傳 demo、stem 或客戶音檔就要更審慎：現行服務條款要求用戶擁有輸入素材嘅權利，亦授予 Suno 廣泛而長期嘅使用許可，範圍包括改善相關 AI 模型。付費計劃提供商業使用權，Suno 同時寫明唔保證生成結果一定獲版權保護。用嚟接廣告、出歌或者做 YouTube 配樂，最好保留輸入素材授權、生成日期、訂閱紀錄同人手改作檔案，亦唔好上傳權利未清楚嘅音軌。下一步要睇 UMG、Sony 案件披露咩證據，同 Suno 會唔會公開再具體啲嘅數據來源。

參考來源

• TechCrunch — Hack suggests AI music generator Suno scraped YouTube for training data — original report
• 404 Media：Hack Reveals Suno AI Music Generator Scraped YouTube, Deezer, and Genius — 首報流出源碼疑似顯示嘅抓取來源、數量、工具同客戶資料範圍。
• Suno：CA AB 2013 Disclosure — Suno 官方交代訓練數據規模、收集期、受知識產權保護內容同用戶 Content。
• UMG、Sony 等唱片公司修訂申訴書 — 核對 YouTube stream ripping、rolling cipher、DMCA 同 fair use 爭議只屬訴訟指控。
• Suno 2026 年 7 月 2 日法庭文件 — 確認 Warner 已撤回申索，案件現時剩低 UMG、Sony 同旗下公司。
• YouTube 使用條款 — 官方條款列明自動抓取、未獲批准下載同規避防複製功能嘅限制。
• Unit 42：Shai-Hulud npm 供應鏈攻擊分析 — 解釋惡意套件點樣偷取 GitHub、npm、SSH 同雲端憑證。
• Suno 服務條款 — 核對用戶上傳內容嘅授權範圍、商業使用權同版權保障限制。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。