7月15日、Jason Koeblが「Hack Reveals Suno AI Music Generator Scraped YouTube, Deezer, and Genius」と題した記事を公開した。この記事では、AI音楽生成ツール「Suno」へのハッキングによって、同社がYouTube Music・Deezer・Genius等から大規模に音楽データをスクレイピングしていた実態が明らかになったことについて詳しく紹介されている。以下に、その内容を紹介する。
ハックで露わになったSunoのスクレイピング実態
AIが著作権素材をどのように学習しているかは、これまで企業側の自己申告に依存してきた。今回、「ellie.191」を名乗るハッカーがSunoのシステムに侵入し、そのソースコードと内部データを404 Mediaと共有したことで、初めて具体的な数字と手法が明らかになった。
流出したのは2023〜2024年頃のソースコードと、スクレイピングの対象・規模に関するコメント群だ。コード内には以下のようなデータセットの記述があった。
youtube_music：201万3,545クリップ（113,879時間）ytm_tagged：152,162時間pond5_music：62,117時間genius_hq：17,615時間deezer：12,287時間imslp（国際楽譜ライブラリプロジェクト）：19,514時間jamendo：3,726時間freesound：410時間musescore_lyrics：103時間
合計すると数十年分に相当する音楽データである。
YouTubeからのストリームリッピングを確認
RIAA（全米レコード協会）はSunoに対する訴訟の中で、「YouTubeから直接ストリームリッピングを行った」と主張していた。今回の流出データはその主張を裏付ける。
コードにはYouTube上のアカペラ音源を検索して取得する処理が含まれており、**Bright Data（スクレイピングインフラを提供するサービス）のプロキシを経由してYouTubeからデータを収集していた形跡がある。また、PodcastIndexを使って5エピソード以上・各30分以上の条件を満たすポッドキャスト42万件を特定し、約100万時間分**のダウンロードを試みていたことも示されている。
Pond5はShutterstockが所有するストック音楽ライブラリで、同社の主張によれば250万トラックを保有する。Sunoのデータはそのうち相当量を取得していたことを示唆している。Geniusについては歌詞サイトであり、楽曲を直接ホストしていないが、Apple Music経由で楽曲サンプルを再生できる仕組みを通じて収集したと見られる。
侵入手法：npm サプライチェーン攻撃
ハッカーのellie.191は、Shai-Huludワームと呼ばれるnpmサプライチェーン攻撃を使い、Suno社員のGitHubおよびクラウドサービスの認証情報を窃取して侵入したと説明している。これにより、ソースコードに加えて数十万人規模のユーザーのメールアドレス・電話番号・Stripe決済情報にもアクセスできたとしている。
404 Mediaが確認した複数のユーザーは、電話番号でSunoに登録した事実を認めつつ、侵害の通知を受けていないと述べた。
Sunoの広報担当者は声明の中で「2025年11月に限定的なセキュリティインシデントが発生し、迅速に封じ込めた。関与したのは主に現在使用されていない古いソースコードであり、機密個人情報は漏洩していない」と説明した。また「該当するプライバシー法の下では、個別通知は必要と判断しなかった」とも述べている。
Sunoのこれまでの主張との整合性
Sunoは訴訟対応の中で「合理的な品質のオープンインターネット上の音楽ファイルのほぼすべてを学習データに使用した」と既に認めており、今回の流出データはその範囲を具体的に示すものとなった。
同社はフェアユースを根拠に学習の正当性を主張しており、一部の訴訟はすでに和解している。404 Mediaは以前にもNvidiaやRunway MLがYouTubeを大規模にスクレイピングしていた事実を独自取材で報じており、AI業界全体での構造的な問題として浮かび上がっている。
詳細はHack Reveals Suno AI Music Generator Scraped YouTube, Deezer, and Geniusを参照していただきたい。
