Suno遭駭不只外洩原始碼：AI音樂訓練資料與5,530萬筆帳號風險一次看懂

最近，AI音樂生成平台Suno傳出重大資安事件。

不少網路文章把這件事寫成「Suno的內部原始碼被爬取」，但更精確的說法是：

Suno遭到駭客入侵，內部舊版原始碼外洩；而外洩的程式碼進一步顯示，Suno曾大量抓取網路上的音樂、歌詞與音訊資料，用來建立AI訓練資料集。

一邊是公司原始碼被駭，另一邊則是程式碼揭露Suno如何抓取外部音樂。這是兩件不同的事，不能混在一起理解。

事件是怎麼發生的？

根據科技媒體《404 Media》的調查，這起入侵事件發生在2025年11月，直到2026年7月15日才被公開揭露。

一名代號為「ellie.191」的駭客聲稱，先透過Shai-Hulud惡意蠕蟲感染一名Suno員工，再取得該員工使用的GitHub及雲端服務憑證，進一步存取公司原始碼、客戶資料與部分Stripe付款紀錄。

資安公司Socket分析，Shai-Hulud主要針對開發人員使用的軟體套件與帳號憑證。一旦取得開發者的GitHub或雲端權限，就可能從一台受感染的電腦，擴大到公司的內部系統。

Suno向媒體證實，2025年11月確實發生過一起資安事件，但公司表示影響範圍有限、事件很快受到控制，主要涉及已不再使用的舊版原始碼。

來源：404 Media調查報導、Socket資安分析

外洩程式碼揭露了什麼？

這次外洩的程式碼主要來自2023至2024年，其中包含資料抓取指令、資料集名稱，以及部分資料量紀錄。

根據《404 Media》檢視的資料，Suno的資料來源可能包含：

資料來源	程式碼紀錄的部分規模
YouTube Music	2,013,545個音樂片段、113,879小時
Genius	17,615小時
Deezer	12,287小時
Pond5	62,117小時
Jamendo	3,726小時
IMSLP	19,514小時
Freesound	410小時

除此之外，資料還提到MuseScore、Podcast RSS，以及其他音樂與聲音素材來源。

Socket的分析也指出，程式碼顯示Suno可能透過Bright Data的代理服務抓取YouTube音訊。這與美國唱片業協會過去指控Suno透過「串流翻錄」取得YouTube音樂的說法相符。

不過需要注意，以上數字來自媒體取得並檢視的外洩程式碼與資料集註解，Suno並未逐項公開確認所有資料來源及數量。

抓取網路音樂，就一定違法嗎？

這正是目前AI產業最具爭議的問題之一。

2024年6月，包括Sony Music、Universal Music Group及Warner Records等唱片公司，曾對Suno與另一家AI音樂公司Udio提起訴訟，主張兩家公司未經授權複製大量受著作權保護的錄音作品，用來訓練生成式AI模型。

唱片公司的立場是，即使AI最後生成的是一首新歌，建立模型之前仍可能需要先複製大量原始音樂，因此可能涉及著作權侵害。

Suno則主張，使用公開網路上可以取得的資料訓練AI，具有轉化與創新的目的，應屬於合理使用。

換句話說，爭議不只是「有沒有抓資料」，而是：

• 抓取時是否繞過平台的技術保護？

• 是否違反YouTube、Deezer等平台的服務條款？

• 是否重製了受著作權保護的完整錄音？

• AI訓練能否被認定為合理使用？

• 生成結果是否與原作過度相似？

在美國相關案件尚未完全定讞前，不適合直接把所有抓取行為寫成「已確定非法」。比較準確的說法是：外洩程式碼可能成為訴訟中的重要證據，但最終是否構成侵權，仍須依個別案件及法院判決認定。

可參考：RIAA對Suno提出的起訴文件

不只原始碼，還可能影響5,530萬個帳號

這起事件更直接影響一般使用者的，是帳號及付款資料外洩。

資料外洩查詢服務Have I Been Pwned在2026年7月20日收錄Suno事件，確認外洩資料中包含約5,530萬個不重複的電子郵件地址。

其他外洩內容還可能包括：

• 姓名

• 電話號碼

• 實體地址

• 消費金額與購買紀錄

• 信用卡種類

• 信用卡到期日

• 信用卡末四碼

目前公開資料顯示，外洩內容不包含完整信用卡號，Have I Been Pwned列出的資料類型也沒有使用者密碼。

但姓名、信箱、電話、地址與消費紀錄若被放在一起，仍可能被用來製作更逼真的釣魚郵件或假客服訊息。

值得注意的是，Suno最初表示事件影響有限，且沒有敏感個資外洩；但Have I Been Pwned後續確認約5,530萬個信箱出現在資料集中，兩者說法存在明顯落差。

來源：Have I Been Pwned：Suno Data Breach、iThome中文整理

這件事給AI使用者的三個提醒

一、工具方便，不代表沒有資料風險

我們使用AI工具時，常會留下電子郵件、付款資料、創作內容，甚至聲音樣本。註冊之前，除了比較功能與價格，也應確認平台會保存哪些資料、保存多久，以及資料是否可能被拿去訓練模型。

二、AI生成內容不等於可以無限制商用

即使平台提供商用方案，也不代表每一首生成音樂都完全沒有著作權風險。

如果生成結果出現知名歌曲的旋律、歌詞、特殊聲音，或過度模仿特定歌手，仍可能產生爭議。準備用於廣告、課程、品牌影片或商業作品時，更需要檢查平台授權條款。

三、AI產業正在從「先發展」走向「補規則」

過去大家關注的是AI能不能生成一首完整歌曲，現在更重要的問題已經變成：訓練資料從哪裡來、創作者有沒有同意，以及收益應如何分配。

Suno事件可能不會讓AI音樂停止發展，卻可能加速平台與唱片公司重新談判授權、建立付費資料庫，並提高訓練資料的透明度。

結語

Suno遭駭事件表面上是一場資安事故，背後卻同時碰觸三個重要問題：企業如何保護內部系統、AI如何取得訓練資料，以及一般使用者的個資如何被保護。

AI生成音樂確實讓創作變得更快、更容易，但工具越方便，我們越需要知道它背後的資料從哪裡來，也要了解自己輸入平台的資料去了哪裡。

使用AI不需要過度恐慌，但不能只看到功能，忽略資安、授權與著作權。

---

⚠️使用與轉載警語

1. 本文資訊截至2026年8月20日。部分內容來自媒體取得的外洩程式碼、駭客說法與第三方資安分析，Suno並未逐項確認所有資料內容。

2. 請勿下載、散布或使用外洩的原始碼及個人資料。未經授權取得、保存或傳播外洩資料，可能涉及資安、隱私及法律責任。

3. 涉及Suno的著作權訴訟仍須依個別法院判決認定。本文僅整理公開資訊，不構成法律意見，也不代表所有AI訓練或資料抓取行為均已被法院認定違法。

4. 曾註冊Suno的使用者，建議提高警覺。可至Have I Been Pwned查詢電子郵件是否出現在外洩資料中；若曾重複使用相同密碼，建議立即更換，並留意假冒Suno或Stripe的釣魚郵件與付款通知。

5. 商業使用AI音樂前，請確認最新服務條款。避免直接指定模仿特定歌手、使用未授權歌詞，或將高度近似既有作品的內容直接投入廣告及公開商業用途。

常見問題

身為房仲，用 Suno 或其他 AI 音樂工具時要注意什麼資安風險？

對房仲來說，AI 音樂工具通常會拿來做房屋廣告、形象影片或社群內容，但在註冊與使用過程中，你可能會留下電子郵件、手機、信用卡資料，甚至上傳自己的聲音或影音素材。這次 Suno 遭駭事件顯示，一旦平台資安出問題，帳號資訊與部分付款資料可能會被外洩，被用來製作更逼真的釣魚簡訊或假客服通知。實務上，建議你：第一，註冊前先看清楚平台會保存哪些資料、保存多久；第二，不要在太多平台重複使用相同密碼；第三，收到自稱是「平台付款異常」「會員升級」的訊息時，優先回到官方網站或 App 驗證，不要直接點擊陌生連結。

AI 生成音樂可以直接拿來放房屋廣告或實境影片嗎？會有著作權問題嗎？

AI 生成音樂並不等於「完全沒有風險」。即使平台宣稱提供商用方案，生成出來的音樂如果在旋律、歌詞、聲線上過度模仿特定歌手，或明顯近似知名歌曲，仍可能引發著作權爭議。對房仲來說，廣告、實境導覽影片通常都是公開播放、具商業目的，一旦遭到檢舉或被權利人發現，可能面臨下架、索賠甚至影響品牌形象。建議你：在重要廣告或長期使用的素材上，優先使用有明確授權條款的音樂庫，或委託音樂人創作；若使用 AI 音樂，避免明確指定「模仿某位歌手」「使用某首歌詞」，並保留生成紀錄與當時的服務條款截圖，以備未來有爭議時佐證使用情況。

這次 Suno 事件會不會讓 AI 音樂變得不能用？未來趨勢是什麼？

Suno 遭駭與訓練資料爭議，並不會讓 AI 音樂技術本身停止發展，但會加速產業往「補規則」方向前進。一方面，平台必須強化資安，降低原始碼與使用者資料外洩的風險；另一方面，唱片公司與平台之間會持續談判，建立更明確的授權模式與付費資料庫，讓訓練資料來源更透明。對使用者而言，未來可能會看到更多「標示訓練來源」「提供創作者分潤」的機制，也可能出現針對特定用途（像是廣告、不動產行銷）的專門授權方案。對房仲來說，與其擔心 AI 音樂不能用，不如及早熟悉這類工具的授權條款與風險控管方式，當規則變清楚時，反而可以更放心地在合法範圍內善用這些技術。

我如果曾用 Suno 註冊帳號，現在可以做哪些自我保護？

如果你曾用 Suno 註冊，第一步可以到資料外洩查詢服務（例如 Have I Been Pwned）確認自己的電子郵件是否出現在外洩清單中。即使目前資料顯示外洩內容不含完整信用卡號與密碼，姓名、信箱、電話、地址與消費紀錄被放在一起，仍足夠讓攻擊者製作高度擬真的釣魚訊息。建議你：優先更換在其他網站重複使用的相同密碼；為重要服務（銀行、電商、常用雲端）開啟多因素驗證；近期如果收到自稱 Suno 或 Stripe 的簡訊、郵件，要求你「重新驗證付款」「提供卡號」，務必直接從官方網站登入核實，不要透過信件中的連結或附件操作。這些基本步驟可以大幅降低被連環攻擊的風險。