Bir hacker, yapay zeka müzik platformu Suno'ya sızdı ve şirketin eğitim verilerinin tam olarak nereden geldiğini belgeleyen kaynak kodlarını ele geçirdi. Saldırı, 404 Media tarafından ilk kez duyuruldu ve incelenen sızdırılmış dosyalar, müzik endüstrisinin 2024'ten bu yana mahkemelerde dile getirdiği iddiaları doğruluyor.
Saldırgan, Frank Herbert'in Dune romanındaki dev kum solucanlarından adını alan Shai-Hulud solucanı adlı bir kötü amaçlı yazılım kullandığını iddia ediyor. Suno, kullanıcıların metin açıklaması yazarak saniyeler içinde tam bir şarkı oluşturmasına olanak tanıyan en büyük AI müzik jeneratörlerinden biri. Bu yeteneği geliştirmek için farklı tür ve tarzların nasıl duyulduğunu öğreten geniş bir eğitim veri seti gerekiyordu.
Sızdırılan materyal, 2023 ve 2024 yıllarına ait kazıma talimatları ve dahili kayıtlardan oluşuyor. Bu kayıtlar, bu tür veri hatlarının nasıl oluşturulduğuna dair nadir bir bakış sunuyor. Veri seti dökümü oldukça spesifik. 404 Media'nın incelediği dahili dosya yorumlarına göre eğitim kütüphanesi şunları içeriyordu: 113.879 saat YouTube Music, 152.162 saat etiketlenmiş YouTube parçası, 62.117 saat stok müzik kütüphanesi Pond5, 12.287 saat Deezer ve Genius üzerinden toplanan materyalle ilişkili genius_hq etiketli veri setinde 17.615 saat. Kod ayrıca RSS beslemeleri üzerinden yaklaşık 1 milyon saatlik podcast sesi indirme planlarını da belgeliyordu.
YouTube Music alımını takip eden bir dahili dosya tek başına 2.013.545 müzik klibi kaydetmişti. Bu, on yıllarca süren ses kaydını kapsayan milyonlarca kayıt anlamına geliyor. İştah sadece müzikle sınırlı değildi.
Hacker, yüz binlerce müşteriye ait e-posta, telefon numarası ve Stripe ile ilgili bilgilere eriştiğini iddia etti. Suno ise hassas kişisel bilgilerin tehlikeye atıldığını reddediyor. Şirket, olayı Kasım 2025'te tespit ettiğini ve 'sınırlı' olarak nitelendirdiğini söylüyor. Suno, ifşanın esas olarak artık kullanılmayan güncel olmayan kaynak kodlarını içerdiğini ve geçerli gizlilik yasaları kapsamında bireysel müşteri bildirimlerinin gerekli olmadığı sonucuna vardı. Kullanıcılar bunu ancak şimdi, haberler aracılığıyla öğreniyor.
Aslında Suno, kendi web sitesini okuyan herkese böyle bir şeyin olduğunu zaten söylemişti. Kaliforniya'nın AB 2013 yasası kapsamında (AI şirketlerinin eğitim uygulamalarını açıklamasını gerektiren yasa) şirket, eğitim verilerinin 'fikri mülkiyet korumasına tabi' müzik içerebileceğini kamuoyuna kabul etmiş ve külliyatı on milyonlarca kamuya açık müzik ses dosyası olarak listelemişti. Saldırının eklediği şey ise özgüllük: Yasal başvuru kasıtlı olarak belirsizdi, sızdırılan kod ise değil.
AI müzik eğitiminin kapsamı, herhangi bir ihlalden önce bile netleşmeye başlamıştı. Haziran 2026'da The Atlantic, AI modellerini eğitmek için kullanılan müziği belgeleyen dört aranabilir veri tabanı yayınladı. Bunlardan biri 12 milyon parça, bir diğeri 9 milyon parça ve diğer ikisi yaklaşık 100.000 parça içeriyordu. Bir hacker kaynak kodu teslim etmeden önce en sevdiğiniz sanatçıyı arayabilirdiniz.
Kayıt Endüstrisi Birliği (RIAA), 2024'teki orijinal davanın 2025'teki bir değişikliğinde Suno'nun şarkıları doğrudan YouTube'dan kopyaladığını iddia etmişti. Suno bu suçlamayı adil kullanım savunması altında reddetmişti. Dava, her ihlal olayı için 150.000 dolar tazminat talep ediyordu. Sızdırılan kaynak kodu, RIAA'nın temel iddiasını doğruluyor.
Aynı büyük plak şirketi koalisyonu tarafından paralel bir davada hedef alınan Udio, Kasım 2025'te Warner Music ile anlaştı ve şimdi lisanslı bir platforma geçiyor. Suno'nun Sony ve UMG ile olan davası federal mahkemede devam ediyor. Şirketin değerlemesi 5,4 milyar dolar ve platformda yaklaşık 100 milyon kullanıcı bulunuyor.
Decrypt'in yorum talebine Suno'dan henüz yanıt gelmedi.
