加密新闻

一起严重的安全事件揭露了音乐AI服务Suno如何收集数据以训练其模型的细节。化名为ellie.191的黑客利用名为Shai-Hulud的蠕虫病毒，通过一个被攻破的npm包侵入了公司系统。该恶意软件窃取了凭证和访问密钥，随后攻击者获得了源代码的访问权限。在代码中发现了从YouTube Music、Deezer、Pond5及其他平台下载音频的日志。

数据量令人震惊：其中一个文件记录了从YouTube Music下载2,013,545个音乐视频，总时长113,879小时。另一组数据包含152,162小时的标注录音。代码中还出现了来自Pond5的62,117小时、Deezer的12,287小时、Genius HQ的17,615小时以及音乐乐谱库的19,514小时。计划包括从420,000个RSS源下载约100万小时的播客，但这一阶段的实施情况仍存疑。

Suno证实了这一于2025年11月发现的事件，但声称主要影响的是旧代码，且用户敏感数据未遭泄露。然而，该公司未发布技术报告，这让人对其声明的完整性产生怀疑。黑客声称已获取数十万条记录，包括电子邮件和电话号码。

此次泄露与主要唱片公司的诉讼直接相关。环球音乐集团和索尼音乐娱乐要求将61,026条通过音频指纹技术在Suno训练数据中发现的录音加入诉讼。唱片公司声称，该服务使用了YT-DL等工具绕过YouTube的保护措施，这违反了DMCA。泄露的代码展示了通过代理从YouTube下载内容的过程，可能成为这场争议中的有力证据。

我的分析：这一事件凸显了AI音乐行业的系统性问题：“合理使用”与直接侵犯版权之间的界限日益模糊。Suno可能不得不重新审视其数据收集方法，以避免法律后果。2025年11月与华纳音乐集团达成的包含许可协议的合作伙伴关系表明，市场正走向合法化，但此次泄露可能加速所有参与者的这一进程。