2025年11月に発生したSunoのデータ侵害により、同社がYouTube Musicやその他のプラットフォームからスクレイピングした数百万曲の楽曲をAIの学習に使用していたことを示すソースコードが流出しました。ハッカーが404 Mediaに提供したファイルには、YouTube Musicだけで200万件以上のクリップが含まれていたほか、Deezer、Genius、Pond5から収集された数千時間分のデータも確認されました。Sunoはこのインシデントを認めましたが、流出したのは古いコードであり、機密データは含まれていないと説明しています。
この侵害は、「ellie.191」と名乗るハッカーがサプライチェーン攻撃を用いてSunoのGitHubおよびクラウドの認証情報にアクセスしたことで発生しました。2023年から2024年にかけてのファイルには、SunoがYouTube Music、Deezer、Genius、およびPond5を含むストックライブラリから音楽や歌詞をスクレイピングしていた実態が示されています。また、データには決済処理サービスStripeの顧客記録も含まれていました。
Sunoは回答の中で、インシデントは迅速に収束しており、関与したのは既に使用されていない古いソースコードのみであると述べました。同社は、機密性の高い個人情報は侵害されておらず、クレジットカード番号の完全なデータも保存していないと付け加えています。
Sunoは、その学習手法をめぐって大手レコードレーベルから著作権侵害訴訟を継続的に受けています。同社は、公開されている音楽の利用は著作権法における「フェアユース」に該当すると主張しています。なお、ワーナー・ミュージック・グループは以前、ライセンス契約の締結により同社との請求を和解させています。