Sunoの訓練データがハッキングで露呈：コードにYouTube Musicなどから約38万時間と明記
ハッカーがワームでSunoに侵入。ソースにどのサイトから何時間の音楽を取ったかが書かれ、ユーザーデータも流出。会社は個別通知は不要と主張。
- ハッカー（ハンドルネーム ellie.191）は、Shai-HuludというワームでSuno社員のアカウントを入手し、訓練データ関連のソースコードを404 Mediaに渡した。
- ソースのコメントには、YouTube Music、Pond5、Deezer、Geniusなどから曲を取得したとある。9つのライブラリ合計で約38万時間。youtube_musicというファイルには、すでに201万超の音声セグメントを取得したとも書かれている。
- 収集にはBright Dataのプロキシを使い、YouTubeから取得。アカペラ（伴奏なしのボーカル）も意図的に検索していた。さらに約42万番組のポッドキャストから約100万時間のダウンロードを計画していた。ただし計画段階で、すべて完了したとは限らない。
- 同じ侵入で、Sunoユーザーのメール・電話番号、およびStripe関連の決済情報も取得。ハッカーは404 Mediaに、影響ユーザーは数十万人規模と語った。TechCrunchは一部カード番号情報もあったと報じた。
- Sunoは、このセキュリティ事象を2025年11月に検知し、影響は限定的だと説明。主に古いコードで完全なカード番号も取得できないため、法的に個別通知は不要としている。404が取材した一部ユーザーは、一切通知を受けていないと話した。
ハッカーがSunoに侵入、2件を公開
AI音楽企業Sunoがハッキングされた。ハンドル名 ellie.191 のハッカーは Shai-Hulud（別名サンドワーム）というワームで社員のログイン情報を入手し、訓練データ関連のソースを取得。それをテックメディア 404 Media に渡した。
ソースで最も目を引くのは、訓練セットの出どころと長さだ。YouTube Music、Deezer、Genius、Pond5 といった名前がコメントに並び、合計約38万時間。さらに約100万時間のポッドキャストをダウンロードする計画もあった。
- 113,879 時間 · YouTube Music（youtube_music）
- 152,162 時間 · 別のYouTube関連庫（ytm_tagged、単体で最長）
- 62,117 時間 · Pond5 素材ライブラリ
- 12,287 時間 · Deezer、ほか Genius 歌詞など
- ~100 万 時間 · ポッドキャストDL計画（約42万番組）
同じ侵入で、このハッカーはSunoユーザーのメール・電話、決済会社 Stripe 側の関連情報も目にした。404 Media に対し、関与ユーザーは数十万人規模だと語っている。TechCrunch の要約では、資料に一部カード番号情報もあったとされる。
Sunoの説明はこうだ。このセキュリティ事象は2025年11月に検知し、すぐ封じ込め、影響は限定的だったため、全ユーザーへの通知は不要。一方、404 Media が取材した一部ユーザーは、報道を見て初めて個人情報が漏れた可能性があると知ったと話した。
Shai-Hulud は「サプライチェーン」経由のワームだ。公式サイトを直接狙うのではなく、開発者PC上のツールやログイン情報を狙い、GitHub やクラウドのアカウントを盗む。ハッカー ellie.191 は 404 Media に、このワームでSuno社員を突いて侵入したと語った。なぜSunoを狙ったかと聞かれ、本人の趣旨は「何でもハックしたい」というものだった。
データの出所と総時間
メディアが見たソースは、おおよそ2023〜2024年のもの。あるコメントには、以下のライブラリからデータを引き、音楽以外はフィルタすると書かれていた。
genius_hq、youtube_music、freesound、jamendo、imp（IMSLP）、deezer、ytm_tagged
ほかに pond5_music、musescore_lyrics などのデータセットに関するメモもある。コメントには non-music will be filtered out——つまり非音楽コンテンツは除外する——とある。
コードに見る取得方法
ここまでは量の話。次は方法だ。Music Business Worldwide などは、404の資料を基に、より具体的な細部を補っている。
YouTube：プロキシ利用、アカペラも狙い撃ち
コード上、Sunoは Bright Data のプロキシでYouTube上の曲を取得している。a cappella——伴奏なしのボーカル版——も検索しており、歌声だけを切り出す意図に見える。
レコード会社が問題にする stream ripping は、ストリーミング再生しながら音声をダウンロード可能なファイルとして保存する行為だ。ソース上のこの流れはスクリプトによる一括処理で、「モデルがたまにウェブで数曲聴いた」のとは別物である。
ポッドキャスト：約100万時間をDLする計画
コードにはもう一本の線がある。PodcastIndex 経由で約42万番組を特定。条件はおおよそ各番組5エピソード以上・各約30分で、約100万時間の音声ダウンロードを試みる、という内容だ。
この100万時間はダウンロード計画として書かれたもので、すべて完了し訓練セットに入ったという証明は公開報道にはない。上記9ライブラリ合計約38万時間は、コメントに既に載った別勘定であり、ポッドキャスト計画と合算してはいけない。
会社は「公開データ」をどう語るか
Sunoは法廷提出書類とカリフォルニア州の開示ページで、訓練にはウェブ上で公開アクセスできる音楽ファイルを使い、ペイウォールとパスワード保護は尊重すると書いている。しかし名指しされた Deezer や Pond5 は、多くが有料・購読前提だ。「ペイウォールを尊重する」一方でどうこれらの源を得たか、現行の公開資料は詳述していない。
裁判との関係
Sunoはもともとレコード会社と係争中だ。今回漏れたソースは、「どのサイトから、どう取ったか」の細部を補う材料になる。
第一層は著作権：訓練時に他人の曲を複製したことが、米国法で公正利用になるか。第二層は技術的保護：YouTubeのダウンロード防止を迂回したか。第一層が争われていても、第二層は単独で成立しうる。今回の漏洩は主に、「YouTubeから一括で曲を取った」ことをより裏付けた。
As we have stated in public filings and disclosures, Suno’s AI models have been trained on publicly available music files and related metadata accessible on third-party websites on the open Internet. Suno広報の 404 Media への回答（Music Business Worldwide などが引用）
会社の説明とユーザーの受け止め
一方は訓練データの権利侵害の有無。もう一方はユーザー情報の流出と通知の有無。両方が同じ侵入に絡んでいる。
2025年11月に限定的なセキュリティ事象を検知し、すぐ封じ込めた。主に使われなくなった旧ソース。機微な個人情報に損害はなし。Stripe 上のユーザーの完全なカード番号は会社も取得できない。したがって法的に全員への通知は不要と判断。訓練データについては、カリフォルニア州の規定に沿った公開開示済みだとしている。
ハッカー ellie.191 は、数十万人規模のユーザーのメール・電話と Stripe 関連情報を見られたと主張。TechCrunch は資料に一部カード番号があったと報じた。404 Media の Jason Koebler は Bluesky で、ユーザーは一度も通知されていないと書いた。一部顧客も404に、漏洩通知は一切届かず報道で知ったと確認している。
いま比較的確度高く言える事実は2つ。第一に、Suno自身は「限定的事象」であり個別通知は不要と判断している。第二に、少なくとも一部ユーザーは、2026年7月の報道で初めて知った。完全なカード番号が露出したか、Stripe で具体的にどのフィールドが見えたかは、会社の追加説明と規制・訴訟の結果を待つ必要がある。
Sunoのカリフォルニア州 AB 2013 開示ページには、いまもこうある。訓練セットは数千万件の公開音楽ファイルと関連テキストで、2023年春から収集を続けており、パブリックドメインの曲も著作権保護曲も含まれうる。ペイウォールとパスワードは尊重する——と。今回の漏洩で増えたのは、以前の曖昧な説明になかった細部だ。具体的なサイト名、各ライブラリの時間数、Bright Data プロキシの利用、アカペラの狙い撃ち。
The hacked data is a rare look at exactly how AI models and tools are built. Jason Koebler / 404 Media，2026-07-15
主な出典：404 Media 原文（Jason Koebler，2026-07-15）。404後半は有料で、無料部分はデータセット時間数まで。ワーム、Bright Data、アカペラ、ポッドキャスト計画、会社声明、ユーザー未通知、Jamendo 提訴などは、Music Business Worldwide、Variety、TechCrunch、TechTimes および著者のBlueskyと照合。Suno自身の開示：カリフォルニア州 AB 2013。9ライブラリの時間数は単純合計。ポッドキャスト約100万時間はDL計画の規模。