一份自称拿到Suno内部源代码的黑客爆料，把「AI音乐生成器到底怎么训练出来的」这个老问题，第一次落到了具体数字上：超过200万条YouTube Music音频片段，外加约42万个播客、近100万小时的播客音频。爆料者用的名字是ellie.191，作案手法是供应链攻击，Suno在2025年11月发现被入侵。
比数字更扎眼的是Suno的回应方式——不是否认抓取，而是说这些代码「已经过时、早就弃用」。黑客说的是「你们抓了什么」，Suno答的是「那批代码不用了」，两边根本没在同一个问题上对话。
抓取版图比原文说的更大
404 Media审阅了黑客提供的材料后披露，泄露的源代码时间跨度是2023到2024年，抓取管线不止YouTube Music、Deezer、Genius三家，还包括Pond5、Jamendo、Freesound、IMSLP、MuseScore等素材库和乐谱歌词平台——这些名字此前从未出现在公开报道里。
黑客还称拿到了Suno用户的邮箱、电话，以及部分Stripe支付信息。404 Media抽样联系了几名用户，确认信息属实，但完整数据库并未公开——这一点很关键，后面会讲为什么。
双方各说各话，谁都没拿出全部证据
Suno的回应可以归纳成四句话：规模有限、事件已控制、涉及的是弃用代码、没有敏感信息泄露。再加一句关键的：根据「适用的隐私法」，不需要逐一通知用户。
问题是，这四句话没有一句能被验证。黑客没有公开完整源代码和客户数据库，Suno也没有接受第三方审计。
- 风险.目前关于抓取规模和数据泄露范围的所有具体数字，全部来自黑客单方提供的材料，Suno的否认同样缺乏第三方核实，双方叙事互不兼容。
Suno援引哪条隐私法条款认定「无需通知」，公司没有细说。一家掌握用户支付信息的公司，选择不通知，本身就是一个值得监管机构过问的动作。
抓取本身可能就是违法，跟训练是否合理使用是两回事
Suno的老抗辩是「训练用的是互联网上公开可获取的音乐文件」，受合理使用（fair use）保护。这个说法在正打官司的环球、华纳、索尼三大唱片公司那里从没被接受，但至少还算一个法律层面的争议。
这次泄露的信息如果属实，指向的是另一个更硬的问题：故意绕开YouTube的反抓取保护技术，本身就可能违反《数字千年版权法》（DMCA），跟训练环节能不能主张合理使用没有关系。换句话说，就算模型训练那一步能靠fair use脱身，抓取手段这一步单独就可能站不住。这对唱片公司的诉讼是个新的证据方向，如果这批源代码进入诉讼的证据开示程序，将比黑客爆料更有分量。
这不是Suno一家的毛病
Udio作为Suno最直接的竞品，此前同样被指控抓取YouTube数据。而YouTube的母公司Google，眼下正被多家图书出版商以类似的训练数据侵权理由起诉——一边是被抓取平台的受害者身份，一边自己也在被告席上。
「窃钩者诛，窃国者侯」，庄子这句话用在这里刚好贴切：独立音乐人上传一段翻唱可能被平台下架限流，AI公司抓走上百万条音频训练商业模型，讨论的却是「合理使用」这种法律灰区。规模越大，越容易把违规包装成行业惯例。
抓取规模有多大，用户信息泄露有多深，目前都只是黑客一份没公开的材料。
接下来真正值得盯的，不是Suno这次道歉写得够不够诚恳，而是三件事：唱片公司的诉讼会不会把这批源代码作为新证据提交；监管机构会不会因为「未通知用户」单独立案；以及404 Media或其他媒体能不能拿到更完整的材料，把这场罗生门变成一个有结论的事实。在证据开示程序真正启动之前，用户和版权方能做的，只有等。