AI音楽プラットフォームSunoは、2025年に、Shai-Huludワームを使ったハッカーが同社のシステムに侵入して社内のソースコードを流出させ、学習データの出どころを明らかにしたことで、データ侵害が発生しました。最初に404 Mediaが報じた流出ファイルは、SunoがYouTube Musicから113,879時間以上、ストックライブラリのPond5から62,117時間、Deezerから12,287時間をはじめ、他の複数のソースからスクレイピングしたことを記録しています。この侵入ではさらに、ハッカーが「数十万のユーザー」と説明する対象について、顧客のメールアドレス、電話番号、Stripeの支払い情報も露出しました。Sunoは2025年11月にこの件を認識し、「限定的」であり、主に使われなくなった古いソースコードが関係していると特徴づけました。今回の侵害は、Recording Industry Association of America（RIAA）が2024年のSunoに対する訴訟で行った主張を技術的に裏づけるものです。同訴訟は、同社がYouTubeから直接楽曲を剽窃したと非難しましたが、Sunoはフェアユース（公正使用）を根拠に争っているという経緯があります。
流出したソースコード文書：学習データの出所と規模
流出した資料は、スクレイピング手順と2023年・2024年の社内ログで構成されています。404 Mediaが確認した社内ファイルのコメントによると、学習ライブラリにはYouTube Musicの113,879時間、タグ付けされたYouTubeトラックの152,162時間、Pond5の62,117時間、Deezerの12,287時間、さらにGenius経由で収集された素材に関連付けられたgenius_hqというラベルのデータセット内での17,615時間が含まれていました。コードには、RSSフィード経由でポッドキャスト音声を約100万時間ダウンロードする計画も記録されていました。YouTube Musicへの取り込みを追跡する社内ファイルだけでも、2,013,545の音楽クリップが記録されています。
ハッカーは、Frank HerbertのDuneに登場する砂の怪獣（サンドワーム）にちなんで名付けられたShai-Huludワームというマルウェアを使ったと主張しています。オンラインで最大級のAI音楽ジェネレーターの1つであるSunoは、ユーザーがテキストの説明を入力すると数秒で完成曲を生成できます。この機能を作るには、さまざまなジャンルやスタイルの音がどう聞こえるかをモデルに教えるための、大規模な学習データセット――音声ファイルのコレクション――が必要でした。
Sunoが顧客レコードを含む侵害を認める
ハッカーは、メール、電話番号、Stripe関連情報など、数十万の顧客に紐づくレコードにアクセスしたと主張しました。Sunoは、機微な個人情報が侵害されたことを否定しています。同社は、2025年11月にこの件を特定し、「限定的」と呼んだとしています。Sunoは、露出したのは主に、もはや使用されていない古いソースコードに関わるものだったと判断し、適用されるプライバシー関連法の下では個別の顧客通知は不要だと結論づけました。ユーザーはニュース報道を通じて、この侵害を知っているようです。
Sunoはすでに、カリフォルニア州のAB 2013法に基づき、学習データには知的財産権による保護の対象となり得る音楽が含まれる可能性があることを開示しており、一般に公開されている音声の音楽コーパスを数千万ファイルと記載していました。今回のハックで加わったのは、具体性です。法的申告は意図的に曖昧であり、流出したコードはそうではないからです。
RIAA訴訟の主張は、流出ファイルによって裏づけられる
Recording Industry Association of America（RIAA）は、2025年の補正で、Sunoに対する当初の2024年の訴訟において、同社がYouTubeから直接楽曲を取り込んでいると主張しました。この訴訟は、侵害1件につき15万ドルを求めています。流出したソースコードは、RIAAの中核となる主張を裏づけています。SunoのSonyおよびUMGとの訴訟は、連邦裁判所でなお係争中です。同社の評価額は54億ドルで、プラットフォーム上のユーザー数は約1億人です。
同じ主要レーベル連合による並行訴訟で狙われたUdioは、2025年11月にWarner Musicと和解し、認可を受けたプラットフォームへ移行しています。2026年6月、The Atlanticは、AIモデルの学習に使われた音楽を記録した4つの検索可能なデータベースを公開しました。1つは1,200万トラック、別の1つは900万、さらに2つはそれぞれ約10万ずつです。
FAQ
2025年のSunoの侵害で、どんなデータが露出しましたか？
この侵害により、SunoがYouTube Musicから113,879時間、Pond5から62,117時間、Deezerから12,287時間、その他のソースからスクレイピングしたことを示す社内ソースコードが露出しました。さらにハッカーは、数十万人のユーザー分について、顧客のメールアドレス、電話番号、Stripeの支払い情報にアクセスしたとも主張しています。
Sunoはいつセキュリティ侵害を特定しましたか？
Sunoは2025年11月にこの件を特定し、「限定的」であり、主に使われなくなった古いソースコードが関係していると特徴づけました。同社は、適用されるプライバシー関連法の下では個別の顧客通知は不要だと判断しました。
この侵害は、Sunoに対するRIAAの訴訟とどう関係していますか？
流出したソースコードは、Recording Industry Association of America（RIAA）が2024年の訴訟で主張した、SunoがYouTubeから直接楽曲を取り込んだという内容を裏づけています。訴訟では侵害1件につき15万ドルを求めており、SonyおよびUMGとの案件として連邦裁判所で係争中です。
