Suno、数百万曲をスクレイピング学習

2025年11月、Sunoでのセキュリティ侵害によってAI音楽生成ツールのデータ収集慣行が明るみに出た。「ellie.191」と名乗るハッカーが2023年と2024年のソースコードと詳細なスクレイピング指示およびデータセットを入手し、404 Mediaと共有した。流出ファイルはSunoがYouTube Music、Deezer、Genius、Pond5、Jamendo、Freesound、International Music Score Library Project（IMSLP）、MuseScore、およびPodcastIndexを経由したポッドキャストから体系的に音楽をダウンロードしていたことを明かしている。あるファイルによると、最終更新時点でSunoは201万3545件のYouTube Music楽曲を取得していた。全出処を合計すると、YouTube Musicは数十万時間、Deezerは数千時間、Genius、IMSLP、Jamendo、Pond5は各数千時間、FreesoundおよびMuseScore歌詞は各数百時間、ポッドキャストは約100万時間分のデータセットを編集していた。

スクレイピング作戦は無計画ではなかった。ハッカーが公開したコードからは、SunoがYouTubeから音声を抽出するためにBright Dataというサードパーティ企業を採用し、ボーカルのみの音声を分離するため特にアカペラ版楽曲をプラットフォーム内で検索していたことが分かる。このことは同社が孤立したボーカルトラックを抽出して再利用することを目的としていたことを示唆している。これらの情報公開は現在進行中の訴訟でアメリカ音楽製作者協会（RIAA）が提出した主張を直接裏付けている。RIAAはSunoが意図的な「ストリームリッピング」によってYouTubeの著作権保護を違法に迂回したと主張している。Sunoは著作権材料を無断で学習に利用したとして複数回訴えられている。同社の防御主張では、著作権材料および公開インターネット上の公開音楽ファイルでの学習はフェアユース原則下で法的に許可されると論じている。Sunoはこの立場を維持しており、名前を明かさないスポークスパーソンが404 Mediaに語ったところ「公開提出書類および開示資料で述べた通り、SunoのAIモデルはインターネット上のサードパーティウェブサイトでアクセス可能な公開音楽ファイルおよび関連メタデータで学習されている」とのことだ。

また侵害によってメールアドレス、電話番号、Stripe決済情報を含む顧客情報が流出した。404 Mediaに連絡した一部の顧客は自分がサービスに登録したことを確認し、Sunoからセキュリティインシデントについて通知を受けたことがないと述べた。Sunoのスポークスパーソンは声明で、同社が2025年11月にインシデントに気付き素早く対応したと述べている。同社は以下のように述べた：「その時点で我々は直ちに調査を実施し、インシデントが主に現在Sunoで使用されていない古いソースコードを含むものであること、および機密性の高い個人情報は流出していないことを確認した。重要なことに、SunoはStripeで顧客のフルクレジットカード番号にアクセスすることはできない。」スポークスパーソンは、関係していると考えられた顧客情報の限定的性質に基づいて「プライバシー法に基づいて個別通知は保証されないと判断した」と付け加えた。この通知不要という主張は流出した顧客データの明らかな規模と矛盾しており、規制当局または被害ユーザーによる精査に直面する可能性がある。

流出データによってSunoの現在進行中の訴訟における立場は大きく損なわれた。RIAAの主張が推測から実際の文書証拠へと変わったのだ。ハッカーが公開したソースコードとスクレイピング指示は、SunoがYouTubeの著作権保護を意図的に迂回したというRIAAの主張を直接支持している。これはSunoが主張するフェアユース防御とは異なる違法行為である。Sunoは訓練データの出所について詳細な公開を避け、「インターネット上のサードパーティウェブサイトでアクセス可能な公開音楽ファイルおよび関連メタデータ」でのみ学習したと述べてきた。流出ファイルはスクレイピングの内容だけでなく方法も明かしている。ボーカル抽出のためのアカペラ版意図的検索、Bright Dataなどのサードパーティスクレイピングサービス利用、YouTube Music単独で200万件以上という体系的規模は、公開コンテンツの受動的利用をはるかに超えた産業規模のデータ収集作戦を示唆している。

2025年11月に発見されたセキュリティインシデント自体も、訓練データとともに顧客の決済・連絡先情報を流出させ、著作権コンテンツを信頼できるとの主張を損なわせている。Sunoの「機密性の高い個人情報は流出していない」という主張は、ハッカーがメールアドレス、電話番号、Stripe情報にアクセスしたという事実と矛盾している。また顧客への通知拒否は限定的なプライバシー法解釈に基づくもので、規制当局や被害ユーザーが異議を唱えた場合には持ちこたえられない可能性がある。