ハッキングによりSuno AI音楽生成ツールがYouTube、Deezer、Geniusからデータをスクレイピングしていたことが判明

AI音楽生成ツールSunoがハッキング被害に遭い、そのソースコードが流出したことで、同社がAIモデルを訓練するためにインターネットから音楽やポッドキャストを大規模にスクレイピングしていた実態が明らかになった。404 Mediaと共有されたデータによると、SunoはYouTube Music、Deezer、Geniusのほか、Pond5、Jamendo、Freesoundなどの音楽ライブラリ、さらにはRSSフィード経由のポッドキャストから数百万曲の楽曲と歌詞を収集していた。ハッカーはまた、数十万人のSunoユーザーの個人情報やStripeの決済データにもアクセスしたと主張している。

今回の流出データは、AIモデルやツールがどのように構築されているかを外部から垣間見る貴重な機会となった。Sunoはインターネット上で最大級のAI音楽生成ツールの一つであり、レコード業界から数百万の著作権で保護された楽曲を訓練に使用したとして複数の大規模訴訟を起こされている。訴訟過程で、Sunoは訓練データが「オープンインターネットでアクセス可能な合理的な品質の音楽ファイルのほぼすべて」であり、「数千万の録音」を含むと認めている。Sunoはこれらの訴訟でフェアユースを主張しており、そのうちの一つは和解している。

流出したソースコードは主に2023年と2024年のもので、スクレイピングの指示やその範囲の詳細が含まれていた。例えば、あるファイルのコメントには「genius_hq, youtube_music, freesound, jamendo, imp, deezer, ytm_tagged」からデータを取得し、「非音楽はフィルタリングされる」と記されていた。「youtube_music」というファイルは、最後に更新された時点で「2,013,545の音楽クリップ」を取り込んだと示している。別のファイルにはSunoが作成したさまざまなデータセットがリストされており、113,879時間のYouTube Music、17,615時間のGenius HQ、62,117時間のPond5などが含まれ、合計で少なくとも数十年分の音楽に相当する。

さらに、ハッカーが共有した他のコードは、YouTubeでアカペラバージョンを検索してボーカルを探すものだった。また、SunoがBright Dataという企業を通じてプロキシを使用し、YouTubeから楽曲をスクレイピングしていたことも示唆された。PodcastIndexというオンラインツールを利用して、Sunoは少なくとも5つの30分エピソードを持つ42万のポッドキャストを特定し、約100万時間のポッドキャストをダウンロードしようと試みた。

Sunoの広報担当者は声明で、「SunoのAIモデルは、オープンインターネット上の第三者のウェブサイトで公開されている音楽ファイルと関連メタデータを使用して訓練されている。2025年11月、当社は限定的なセキュリティインシデントが発生したことを確認し、迅速に封じ込めた。調査の結果、このインシデントは主にSunoで使用されていない旧式のソースコードに関連しており、機密性の高い個人情報が侵害されたことは確認されていない。重要な点として、SunoはStripe内の顧客の完全なクレジットカード番号にアクセスすることはない」と述べた。

「関与したと見られる顧客情報の限定的な性質に基づき、該当するプライバシー法の下では個別通知は必要ないと判断した」と広報担当者は付け加えた。Sunoはまた、カリフォルニア州法で義務付けられた訓練データの開示を行った。

ハッカー「ellie.191」は404 Mediaに対し、Shai-Huludワームを使用したサプライチェーン攻撃で従業員一人をハッキングし、GitHubとクラウドサービスの認証情報を収集したと語った。また、Sunoの顧客リストにもアクセスし、ログイン方法に応じて顧客のメールアドレスや電話番号、Stripeの決済詳細を含んでいたという。ハッカーは一部の顧客サンプルを提供し、そのうち数人は電話番号でSunoに登録したことを確認し、侵害通知を受け取っていないと述べた。ハッカーはSunoをハッキングした特定の動機はなく、「何でもハッキングするのが好きだ」と語った。

404 Mediaは以前、NvidiaとRunway MLがYouTubeを大規模にスクレイピングしたことを示すリーク資料を報じている。現在、AI企業のほとんどは著作権で保護された素材を訓練に使用することを否定せず、フェアユースの枠組みでアーティストの作品をスクレイピングすることが許可されると主張している。

Sunoの広報担当者は、既存の楽曲に似た曲をユーザーが生成するのを防ぐための対策を講じていると付け加えた。訴訟の争点の一つは、Sunoが既存作品とほとんど区別がつかない曲を出力できることだった。「当社の目標は常に、オリジナルの新しい音楽を人々が創造する手助けをすることで、他人の作品を複製することではない。そのために、モデルを『オリジナル・クリエイション・バイ・デザイン』というコンセプトに基づいて構築している。例えば、トレーニングメタデータのカテゴリとしてアーティスト名を意図的に使用していない。これは、モデルが他のアーティストの既存作品を複製するのではなく、全く新しい曲を生み出す手助けをするためだ」と広報担当者は述べた。「アーティストには新たな機会と強力な保護の両方が与えられるべきだと信じている。そのため、なりすましやその他の悪用を防ぐためのセーフガードに投資し、AI識別技術の開発を続けている。」

SunoのCEO兼創業者であるMikey Shulmanは、昨年のポッドキャストで「大多数の人は音楽制作に費やす時間の大半を楽しんでいない」と述べている。