AI 音乐生成平台 Suno 最近被掀了底。据 404 Media 报道、并经多家媒体确认，Suno 此前遭到黑客入侵，泄露出来的源代码把它的训练数据来源摊在了阳光下——那些被唱片公司告了又告的”未经授权抓取”，在代码里写得明明白白。
黑客用的化名是 ellie.191，早在 2025 年 11 月就通过一次供应链攻击拿到了 Suno 员工的凭证，进而翻出了内部代码。泄露文件里有一组数字格外刺眼：一个叫 youtube_music 的文件夹里塞着超过 200 万段视频片段；从歌词网站 Genius 抓了超过 1.7 万小时歌词；从音乐流媒体 Deezer 抓了超过 1.2 万小时歌曲；就连 Shutterstock 旗下的素材库 Pond5，也被搬走了超过 6.2 万小时音频。
更讽刺的是，Suno 的爬虫还带了一套筛选机制，专门把非音乐文件过滤掉，好让训练数据”更干净”。一边讲究数据质量，一边用着没授权的歌。
用户的隐私，也没被漏掉
泄露的不止是训练数据。黑客还碰到了部分用户资料：邮箱、电话号码，以及通过支付服务商 Stripe 处理的信用卡元数据。Suno 后来回应称，这起事件”主要涉及已不再使用的过时代码”，没有完整卡号泄露，按现行隐私法不需要逐个通知用户——但它 2025 年 11 月出事时，确实没有主动告知用户。
这下，版权方手里的牌更硬了
环球、索尼、华纳这几家唱片巨头早就以 RIAA 名义把 Suno 告上了法庭，指控它未经授权用受版权保护的音乐训练模型。Suno 一直用”合理使用”当挡箭牌，说公开网络上能拿到的音乐文件就能拿来训练。今年 5 月，唱片公司把诉讼里认定的侵权歌曲从最初宣称的 560 首，扩到了 6.1 万多首，法院也批了。这次泄露的抓取代码，等于给版权方递上了新证据。
站在创作者一边的人声音更响。SZA 就说过，她怀疑自己一些还没发布的歌也被拿去用了；作曲人 Kenneth Blume 直接抨击，这是赤裸裸侵犯创作者的权利。有意思的是，Anthropic 和 Meta 去年夏天在一批作者提起的类似诉讼里赢了——同样的”合理使用”辩护，结果并不完全一样。
- 对 Suno：诉讼阴影没散，反被添了实锤，后续授权谈判和合作关系都会更被动。
- 对整个 AI 音乐行业：训练数据来源不透明，迟早会被扒出来，监管已在呼吁明确规则。
- 对普通用户：你喂给 AI 平台的资料，平台自己都未必守得住。
Suno 自己其实还在扩张，前不久刚完成 4 亿美元 D 轮、估值冲到 54 亿美元。但这次泄露说明，靠”公开网络就能随便抓”撑起来的增长，迟早要面对账单。AI 音乐能不能走得远，先把”歌是从哪来的”说清楚，大概是最基本的一课。