AI音楽生成サービスSunoで発生した情報漏洩により、YouTube MusicやDeezer、Geniusなどから無断で学習データを収集していた実態を示すソースコードが流出しました。2025年11月のサプライチェーン型認証情報侵害を通じ、ハッカーが社内コードと顧客情報に不正アクセスしたとされます。流出データには顧客のメールアドレスや電話番号、決済情報の一部も含まれ、大手レコード会社が進めるSunoへの著作権訴訟に新たな証拠を与える形となりました。
背景と文脈
Sunoは2024年にサービスを開始し、テキストや簡単な指示だけで楽曲を生成できるAIツールとして急速に利用者を増やしました。複数回の資金調達を経て音楽生成AI分野で存在感を高める一方、学習データの合法性を巡る懸念は当初から指摘されていました。ユニバーサルミュージックグループやソニー・ミュージックなど大手レコード会社は2024年、著作権で保護された楽曲を無断でAIの学習に使ったとしてSunoを提訴しています。米マサチューセッツ州連邦地裁で審理中のこの訴訟は2026年6月30日にスケジュールが見直され、実体判断を求める申し立ての期限は2027年4月9日に設定されました。
これまでSuno側は学習データの具体的な収集元を公表せず、フェアユース(著作物を許諾なく利用しても一定条件下では合法とする米著作権法上の考え方)を主張してきました。しかし今回の情報漏洩で流出したとされるTechCrunchが報じたソースコードは、YouTube Music、Deezer、Genius、ストック音源ライブラリ、ポッドキャストのRSSフィードといった具体的な収集先を名指しで示しています。推測ではなく社内文書としての裏付けとなるため、訴訟の証拠価値が格段に高まります。ドイツでは音楽著作権管理団体GEMAがSunoを提訴しており、ミュンヘン地方裁判所は2026年7月31日に判決を予定しています。
技術/ビジネス面
ハッカーは自らを「ellie.191」と名乗り、侵入の手口を明らかにしています。Shai-Huludと呼ばれるサプライチェーン型のワーム(GitHubやクラウドサービスの認証情報を狙って自己増殖するマルウェア)を使い、Suno従業員の認証情報を窃取して社内のソースコードに到達したとされます。流出したコードによると、SunoはBright Dataという商用プロキシサービスを利用し、IPアドレスを次々と切り替えながらYouTube側のスクレイピング防止機構を回避していました。
これは著作権侵害そのものとは別に、米デジタルミレニアム著作権法(DMCA、オンライン著作物の保護と技術的回避行為の禁止を定めた米国法)第1201条が禁じる「技術的保護手段の回避」に該当する可能性があります。公正利用の抗弁を経ずに独立して法的責任を問える点が重要です。規模も明らかになりつつあり、Engadgetの報道によるとYouTube Musicだけで200万曲超、DeezerやGeniusからも数万時間分の音源データを収集したとされています。
加えて同じ侵入者は数十万人規模とされるSuno顧客の個人情報にもアクセスしました。メールアドレスや電話番号、Stripe決済に登録されたクレジットカード番号の一部が対象です。Sunoの本拠地であるマサチューセッツ州は、住民のメールアドレスや電話番号が第三者に不正アクセスされた場合の通知を義務付けていますが、被害者への通知は行われていませんでした。
これからどうなるか
今回の流出は、米国での著作権訴訟に加えドイツGEMA訴訟、ソニーとのフェアユース審理という3つの法廷で同時に証拠として扱われる見通しです。Varietyの報道では、この3件が並行して進む点が指摘されています。とりわけDMCA回避の主張が認められれば、学習データの収集方法自体が独立した違法行為として扱われ、他のAI音楽・音声生成サービスにも波及しうる論点になります。
顧客データの通知漏れも州法違反として追及される可能性があり、セキュリティインシデントの開示姿勢そのものが企業の信頼性を左右する局面です。開発者にとっても他人事ではありません。自社プロダクトで外部データを学習や参照に使う場合、収集元の利用規約やスクレイピング対策を回避していないか、ライセンス出所を記録・監査できる体制になっているかを今一度点検する価値があります。サプライチェーン攻撃への備えとして、CI/CDや認証情報の管理を見直すことも欠かせません。
まとめ
Sunoの情報漏洩は、AI音楽生成サービスが学習データをどこから集めていたかを具体的に暴露しました。顧客情報の流出と通知遅れも重なり、進行中の著作権訴訟に直接影響する証拠となっています。データの出所管理とセキュリティ対応の両面で、AI企業への監視は一段と厳しくなりそうです。開発者も対岸の火事とせず、自社の学習データ運用を見直す契機にしたいところです。
参考リンク
- Hack suggests AI music generator Suno scraped YouTube for training data (TechCrunch)
- A hacker accessed Suno source code that reportedly details how the company scraped millions of songs (Engadget)
- Suno Hack Shows How YouTube Music, Deezer and Genius Data Trained AI Music Generator’s Models (Variety)
アイキャッチ画像: Photo by Google DeepMind on Unsplash
