Generator muzyki AI Suno został zhakowany. Wyciekły nie tylko dane klientów, ale i dowody, że firma potajemnie trenowała swoje modele na muzyce z YouTube.
W skrócie:
- Haker uzyskał dostęp do kodu źródłowego Suno, który rzekomo pokazuje, że firma masowo pobierała dane z YouTube Music, Deezer i innych serwisów.
- Firma nie poinformowała klientów o wycieku danych z listopada 2025 roku, który obejmował e‑maile, numery telefonów i częściowe dane kart płatniczych.
- Suno już wcześniej było pozwane przez wytwórnie płytowe, które zarzucają firmie łamanie praw autorskich poprzez nielegalne trenowanie AI na chronionej muzyce.
Świat generatywnej sztucznej inteligencji to pole minowe, gdzie innowacja ściera się z etyką, a technologiczny pęd zderza ze ścianą prawa autorskiego. A właśnie wybuchła kolejna mina. Jak donosi serwis 404 Media, popularny generator muzyki Suno padł ofiarą ataku hakerskiego, który obnażył nie tylko słabości zabezpieczeń, ale przede wszystkim – rzekomo – fundamentalną tajemnicę jego działania. Tajemnicę, której treść brzmi jak gotowy materiał na pozew sądowy: masowe i nieautoryzowane pobieranie danych z największych serwisów muzycznych na świecie.
Jak doszło do włamania i co ujawnił haker?
Sprawa wyszła na jaw, gdy anonimowy haker skontaktował się z dziennikarzami. Twierdzi, że już w listopadzie 2025 roku przeprowadził tak zwany atak na łańcuch dostaw (supply chain attack). Dzięki niemu przejął dane uwierzytelniające jednego z pracowników Suno, a to otworzyło mu drzwi do wewnętrznych systemów firmy. I do jej kodu źródłowego. To, co tam znalazł, potwierdza najgorsze obawy branży muzycznej. Kod zawierał rzekomo dowody na to, że Suno systematycznie “skrobało” (ang. scraping) – czyli automatycznie pobierało – dekady nagrań audio z serwisów takich jak YouTube Music, Deezer, Genius, a nawet z bibliotek muzyki stockowej i kanałów RSS z podcastami.
To odkrycie stawia pod znakiem zapytania całą narrację firmy. Suno, podobnie jak wiele innych startupów AI, lawirowało dotąd w szarej strefie prawnej. Przedstawiciele firmy przyznawali, że trenują swoje modele na “publicznie dostępnych plikach muzycznych”, powołując się na amerykańską doktrynę fair use (dozwolonego użytku). To subiektywny i nieostry zapis w prawie autorskim, który w pewnych okolicznościach pozwala na wykorzystanie chronionych dzieł bez zgody autora. Wygodna furtka. Problem w tym, że zdaniem prawników reprezentujących wielkie wytwórnie płytowe, ta furtka jest już dawno zamknięta.
“Dozwolony użytek” czy bezczelna kradzież?
Wielkie wytwórnie muzyczne już wcześniej złożyły pozew przeciwko Suno. Ich argument jest prosty i trudny do obalenia. Twierdzą, że celowe omijanie zabezpieczeń YouTube, które mają chronić platformę przed masowym pobieraniem danych, jest nielegalne w świetle ustawy Digital Millennium Copyright Act (DMCA). Ponadto narusza to bezpośrednio regulamin samego serwisu. Innymi słowy, nawet jeśli coś jest “publicznie dostępne”, nie oznacza to, że można to wziąć i wykorzystać do celów komercyjnych bez żadnych ograniczeń. To tak, jakby uznać, że skoro książki w bibliotece są dostępne dla każdego, to można je skserować i sprzedawać jako własne.
Suno nie jest w tej walce osamotnione. Podobne oskarżenia padły już w kierunku jego konkurenta, Udio. Nawet sam gigant, Google, musi się tłumaczyć z zarzutów o naruszenie praw autorskich przez wydawców książek. To pokazuje, że cała branża generatywnej AI zbudowała swoje fundamenty na bardzo kruchym gruncie prawnym. Haker, który włamał się do Suno, dostarczył właśnie prokuraturze i wytwórniom coś, co może okazać się dowodem koronnym.
Twoje dane też mogły wyciec, a Suno udawało, że nic się nie stało
Jakby kontrowersje prawne nie wystarczyły, afera ma też drugi, równie niepokojący wymiar. Haker uzyskał bowiem dostęp nie tylko do kodu, ale i do danych klientów. Na liście potencjalnie skradzionych informacji znalazły się adresy e‑mail, numery telefonów oraz częściowe dane kart kredytowych przechowywane w systemie płatności Stripe. To wrażliwe informacje, których wyciek może narazić użytkowników na phishing i inne oszustwa.
Najbardziej bulwersujący jest jednak fakt, że Suno wiedziało o incydencie od listopada 2025 roku i nie poinformowało o nim swoich klientów. Dopiero po publikacji 404 Media firma wydała lakoniczne oświadczenie, w którym nazwała całe zdarzenie “ograniczonym incydentem bezpieczeństwa, który został szybko opanowany”. To korporacyjna nowomowa, która brzmi jak policzek wymierzony użytkownikom, którzy powierzyli firmie swoje dane i pieniądze. Wygląda na to, że dla Suno większym problemem był wyciek kompromitującego kodu niż danych tysięcy ludzi. To stawia pod znakiem zapytania nie tylko legalność, ale i wiarygodność całego projektu.