Włamanie do Suno ujawniło kulisy trenowania AI. Wyciek kodu może zwiększyć presję na branżę

Wyciek wewnętrznego kodu Suno daje rzadki wgląd w sposób, w jaki jeden z największych generatorów muzyki AI budował zbiory treningowe. Materiały opisane przez 404 Media wskazują na masowe pobieranie muzyki, tekstów i innych nagrań m.in. z YouTube Music, Deezer i Genius. Dla Suno to problem wykraczający poza cyberbezpieczeństwo: ujawnione informacje pojawiają się w chwili, gdy firma mierzy się z pozwami dotyczącymi praw autorskich i pytaniami o zasady korzystania z cudzej twórczości.

Kod pokazał skalę pozyskiwania materiałów

404 Media podało 15 lipca, że osoba posługująca się pseudonimem ellie.191 uzyskała dostęp do danych Suno po przejęciu poświadczeń pracownika. Wśród zdobytych materiałów znalazł się kod źródłowy z lat 2023-2024 oraz instrukcje dotyczące pobierania danych. Pliki wskazywały na YouTube Music, Deezer, Genius, Pond5, Jamendo, Freesound i International Music Score Library Project, a także podcasty pobierane przez kanały RSS.

Najbardziej konkretny zapis dotyczył YouTube Music. Jeden z plików odnotowywał 2 013 545 pobranych klipów muzycznych. Inne zestawienia wymieniały m.in. 113 879 godzin materiałów opisanych jako „youtube_music”, 152 162 godziny „ytm_tagged”, 62 117 godzin z Pond5 i 12 287 godzin z Deezer. The Verge, powołując się na te same materiały, informował również o użyciu zewnętrznej infrastruktury do scrapingu i wyszukiwaniu wersji a cappella.

Samo stwierdzenie, że Suno korzysta z treści dostępnych w otwartym internecie, nie jest nowe. W oficjalnym ujawnieniu przygotowanym na potrzeby kalifornijskich przepisów firma podała, że jej modele są trenowane na dziesiątkach milionów publicznie dostępnych plików muzycznych i metadanych, w tym materiałach mogących podlegać ochronie własności intelektualnej. Wyciek dostarczył jednak szczegółów o źródłach, skali i technicznych sposobach pozyskiwania danych.

Wyciek trafia w środek sporów o prawa autorskie

Znaczenie tych informacji rośnie przez trwające postępowania. Universal Music Group i Sony Music Entertainment nadal prowadzą w USA spór z Suno dotyczący wykorzystywania nagrań do trenowania modeli. W maju wytwórnie wystąpiły o rozszerzenie sprawy o ponad 61 tys. kolejnych nagrań. Ujawniony kod może stać się istotnym elementem dyskusji o tym, skąd dokładnie pochodziły materiały treningowe i czy przy ich pozyskiwaniu obchodzono zabezpieczenia platform.

31 lipca Landgericht München wydał z kolei orzeczenie korzystne dla GEMA. Niemiecka organizacja podała, że sąd uznał wykorzystanie chronionych utworów do trenowania Suno za naruszenie praw autorskich oraz wskazał na obowiązek licencjonowania. Wyrok dotyczy konkretnej sprawy i nie rozstrzyga automatycznie amerykańskiego sporu, ale wzmacnia presję na model biznesowy oparty na trenowaniu na repertuarze bez wcześniej zawartych licencji.

Problem dotyczy też bezpieczeństwa użytkowników

Włamanie miało także drugi wymiar. Have I Been Pwned dodało 20 lipca bazę Suno obejmującą 55,3 mln unikalnych adresów e-mail. W danych znajdowały się również numery telefonów, a w mniejszej części rekordów Stripe – nazwiska, adresy, informacje o zakupach oraz częściowe dane kart. Suno podkreśla, że nie przechowuje pełnych numerów kart i określa incydent jako ograniczony, dotyczący przede wszystkim nieużywanego już kodu.

24 lipca w Massachusetts złożono proponowany pozew zbiorowy dotyczący naruszenia bezpieczeństwa danych. To odrębna sprawa od pozwów o prawa autorskie, ale razem tworzą dla firmy trudny splot problemów technologicznych, prawnych i reputacyjnych.

Co to oznacza dla osób tworzących muzykę z AI

Wyciek nie oznacza automatycznie, że utwory wygenerowane przez użytkowników Suno stają się nielegalne ani że odpowiedzialność za sposób trenowania modelu przechodzi na osoby korzystające z narzędzia. Pokazuje jednak, że twórcy wykorzystujący generatywną AI działają w środowisku, w którym zasady licencjonowania, dystrybucji i ochrony prawnej wciąż się zmieniają.

Samo Suno zaznacza, że abonenci planów Pro i Premier otrzymują prawa do komercyjnego wykorzystania wygenerowanych utworów, ale jednocześnie zastrzega, że materiał stworzony w całości przez AI może nie kwalifikować się do ochrony prawnoautorskiej w USA. To osobny problem od sporu o dane treningowe, lecz oba wątki pokazują, że „można opublikować” i „można skutecznie chronić prawnie” nie zawsze oznaczają to samo.

6 sierpnia Suno zapowiedziało nowe narzędzia przejrzystości, znakowanie audio i fingerprinting, które mają ułatwiać identyfikację utworów wygenerowanych na platformie oraz ograniczać nadużycia. Dla całego rynku to sygnał, że kolejnym etapem rozwoju muzyki AI będzie nie tylko poprawa jakości modeli, ale też udokumentowanie pochodzenia danych, zasad licencjonowania i odpowiedzialności za generowane treści.