Ktoś włamał się do systemów Suno i wyniósł z nich fragmenty kodu źródłowego, które opisują, jak firma budowała swoją bazę treningową. Okazuje się, że oprócz YouTube w grze były też Deezer, Genius, biblioteki stockowe i setki tysięcy podcastów.
Kluczowe fakty:
- Haker działający pod pseudonimem ellie.191 włamał się do systemów Suno i uzyskał dostęp do fragmentów kodu źródłowego z lat 2023–2024, ujawniając szczegóły dotyczące budowy bazy treningowej firmy, w tym ponad 2 miliony klipów muzycznych z YouTube Music oraz około miliona godzin podcastów z 420 tysięcy kanałów.
- Ujawniony kod wskazuje, że Suno korzystało z usług firmy Bright Data do masowego pobierania danych z YouTube, co według organizacji RIAA stanowi tzw. stream ripping – czyli obchodzenie zabezpieczeń platformy blokujących pobieranie audio.
- Suno w dokumentach sądowych przyznało, że jego dane treningowe obejmują „zasadniczo wszystkie pliki muzyczne rozsądnej jakości dostępne w otwartym internecie", argumentując, że takie wykorzystanie materiałów mieści się w granicach amerykańskiej doktryny fair use.
O sprawie jako pierwszy napisał portal 404 Media, powołując się na hakera działającego pod pseudonimem ellie.191. Według dziennikarza Jasona Koeblera haker miał dostęp do kodu źródłowego z lat 2023-2024, w którym znalazły się komentarze opisujące proces scrapowania danych oraz konkretne liczby: ponad 2 miliony klipów muzycznych z YouTube Music, 113 879 godzin nagrań z tej samej platformy, 17 615 godzin z Genius, 62 117 godzin z biblioteki Pond5 i kilkanaście tysięcy godzin z Deezer, Jamendo czy International Music Score Library Project. Do tego doszło jeszcze około miliona godzin podcastów pobranych z 420 tysięcy kanałów znalezionych dzięki narzędziu PodcastIndex.
Znajdź dostawcę, partnera lub narzędzie dla swojego biznesu, a jeśli prowadzisz firmę, która w swoim DNA ma AI, skorzystaj z możliwości bezpłatnego dodania swojej firmy.
Co dokładnie znalazł haker
Z materiałów wynika, że kod szukał osobno wersji a cappella utworów, żeby łatwiej wyodrębnić wokale, a do scrapowania YouTube Suno miało korzystać z usług firmy Bright Data, oferującej infrastrukturę proxy do masowego pobierania danych. To istotny szczegół, bo RIAA (organizacja reprezentująca amerykański przemysł muzyczny) od dawna zarzuca Suno tak zwany stream ripping, czyli obchodzenie zabezpieczeń YouTube blokujących pobieranie plików audio ze strumieniowanego wideo. Ujawniony kod, zdaniem 404 Media, potwierdza te zarzuty.
Sama Suno nigdy nie ukrywała, że trenuje swoje modele na materiałach chronionych prawem autorskim. W dokumentach sądowych firma przyznała, że jej dane treningowe obejmują „zasadniczo wszystkie pliki muzyczne rozsądnej jakości dostępne w otwartym internecie”, co złożyło się na dziesiątki milionów nagrań. Argumentuje przy tym, że taki trening mieści się w granicach amerykańskiej doktryny fair use.
Ten przeciek zmienia niewiele w sensie prawnym, bo wielkoskalowe scrapowanie danych treningowych Suno było już znane z pozwów. Zmienia za to bardzo dużo w sensie wizerunkowym. Do tej pory mieliśmy do czynienia z ogólnikowymi sformułowaniami w dokumentach sądowych. Teraz mamy nazwy konkretnych plików, konkretnych bibliotek i konkretnej infrastruktury służącej do obchodzenia zabezpieczeń. To pokazuje, jak rutynowa i zaplanowana była to operacja, a nie przypadkowy efekt uboczny trenowania modelu. Jednocześnie warto pamiętać, że sądy w USA i Europie wciąż nie wypracowały jednoznacznej odpowiedzi na pytanie, gdzie kończy się fair use, a zaczyna naruszenie praw autorskich na masową skalę. Wyrok w tej sprawie będzie miał znaczenie dla całej branży generatywnej AI, nie tylko muzycznej.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Rzeczniczka Suno przekazała 404 Media oświadczenie, w którym firma podtrzymuje, że trenuje modele na „publicznie dostępnych plikach muzycznych i powiązanych metadanych”, a incydent z listopada 2025 roku był „ograniczonym zdarzeniem bezpieczeństwa, które zostało szybko opanowane”. Firma przyznała jednocześnie, że haker uzyskał dostęp do danych klientów, w tym adresów e-mail, numerów telefonów i częściowych danych płatniczych w systemie Stripe, ale twierdzi, że nie doszło do wycieku wrażliwych danych osobowych i dlatego nie powiadomiła klientów indywidualnie.
Sposób, w jaki doszło do włamania, jest równie ciekawy co jego skutki. Haker miał wykorzystać atak na łańcuch dostaw znany jako Shai-Hulud, który wykrada dane logowania do GitHuba i usług chmurowych poprzez zainfekowane pakiety w repozytorium npm. Dzięki przejęciu danych jednego pracownika uzyskał dostęp do kodu źródłowego firmy.
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Skala biznesu, którego dotyczy sprawa
Ujawnienie przychodzi w momencie, gdy Suno jest jedną z najgorętszych spółek na rynku AI. W czerwcu 2026 roku firma zamknęła rundę Series D o wartości 400 milionów dolarów przy wycenie na 5,4 miliarda dolarów, ponad dwukrotnie wyższej niż siedem miesięcy wcześniej. Rundę poprowadził fundusz Bond Capital, a dołączyli do niej między innymi IVP, Forerunner i Union Square Ventures. Według danych przytaczanych przez inwestorów Suno przekroczyło w lutym 2026 roku 2 miliony płacących subskrybentów, a jej przychód roczny sięga około 300 milionów dolarów.
Firma cały czas prowadzi spory sądowe z branżą muzyczną. Universal Music Group i Sony Music pozwały Suno jeszcze w 2024 roku, zarzucając trening na setkach chronionych utworów. W maju 2026 roku labele rozszerzyły pozew o ponad 61 tysięcy dodatkowych nagrań zidentyfikowanych dzięki technologii odcisków palców audio. Warner Music Group jako jedyny z wielkiej trójki wytwórni zawarł ugodę z Suno w listopadzie 2025 roku i podpisał z firmą umowę licencyjną. Kluczowa rozprawa dotycząca wniosku o wyrok w trybie uproszczonym (summary judgment) w sprawie fair use zaplanowana była na lipiec 2026 roku.
Kilka faktów, które pokazują skalę zjawiska:
- Suno nie jest jedynym graczem podejrzewanym o podobne praktyki. Konkurencyjne Udio również oskarżano o scrapowanie danych z YouTube, a wcześniej podobne zarzuty dotyczyły Nvidii i Runway ML
- Google, właściciel YouTube, sam mierzy się równolegle z pozwami o naruszenie praw autorskich ze strony wydawców książek
- Analiza The Atlantic z czerwca 2026 roku wykazała, że część baz danych używanych do trenowania modeli muzycznych AI jest dystrybuowana jako listy linków do YouTube i Spotify, a narzędzia do ich pobierania świadomie omijają loginy i reklamy
Co to oznacza dla polskich twórców i wydawców
W Polsce sytuację prawną wokół treści generowanych przez AI reguluje w praktyce Stowarzyszenie Autorów ZAiKS. Organizacja dopuszcza rejestrację utworów powstałych z udziałem sztucznej inteligencji, ale tylko w części wniesionej przez człowieka. Jak tłumaczył wcześniej dyrektor generalny ZAiKS-u Karol Kościński, jeśli fragment utworu został wygenerowany przez AI, wynagrodzenie za tę część po prostu nie jest wypłacane, bo wytwór AI traktowany jest jak treść z domeny publicznej.
ZAiKS zajął też twarde stanowisko wobec samego procesu treningowego. Organizacja ogłosiła, że firmy eksplorujące teksty i dane obejmujące utwory z jej repertuaru bez podpisanej umowy licencyjnej naruszają prawa autorskie, a mechanizm opt-out przewidziany w unijnej dyrektywie DSM ma być realnym narzędziem obrony dla polskich twórców. Sprawa Suno pokazuje, dlaczego to nie jest teoretyczna dyskusja. Skoro haker znalazł w kodzie źródłowym instrukcje scrapowania z YouTube Music, nic nie wyklucza, że wśród ściągniętych nagrań mogły się znaleźć również utwory polskich autorów publikowane na tej platformie, choć nie ma na to bezpośrednich dowodów w ujawnionym materiale.
Rynek muzyczny obserwuje przy tym postępującą erozję udziału twórczości ludzkiej w strumieniach treści. Według raportu Deezer z 2025 roku niemal 44 procent z 75 tysięcy piosenek trafiających codziennie na platformę to muzyka generowana przez AI, co bezpośrednio przekłada się na mniejszy udział w tantiemach dla twórców korzystających z klasycznych metod produkcji.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Co dalej
Firma nie skomentowała bezpośrednio, czy ujawniony kod źródłowy nadal odpowiada obecnej metodzie zbierania danych treningowych. W oświadczeniu dla 404 Media rzeczniczka Suno podkreśliła, że incydent dotyczył „nieaktualnego kodu źródłowego, który nie jest już używany”. To sformułowanie nie rozstrzyga jednak, na jakich danych trenowane były najnowsze modele firmy, w tym zapowiadany model oparty w całości na repertuarze licencjonowanym, który Suno planuje wypuścić po zakończeniu testów.
Sprawa trafia też w newralgiczny moment dla samej branży. Sądowa rozprawa dotycząca fair use w lipcu 2026 roku może ustalić precedens obowiązujący cały sektor generatywnej AI muzycznej, nie tylko Suno. Sony Music, które jako jedyny z wielkich labeli konsekwentnie odmawia ugody, otwarcie stawia na wyrok sądowy jako sposób na wyznaczenie zasad gry dla całej branży.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz materiału źródłowego 404 Media z dnia 15.07.2026, uzupełnionego o dane z TechCrunch oraz Music Business Worldwide, Variety i Bloomberg dotyczące finansowania i pozwów przeciwko Suno. W części dotyczącej polskiego kontekstu prawnego wykorzystano stanowiska Stowarzyszenia Autorów ZAiKS, w tym publikację rp.pl. Cytat rzeczniczki Suno zweryfikowano z oryginalnym anglojęzycznym materiałem źródłowym 404 Media. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę rozwoju sytuacji, w tym po wyroku w sprawie sądowej dotyczącej fair use.
