Dirbtinio intelekto muzikos platforma „Suno" patyrė vieną didžiausių kūrybinių technologijų sektoriaus duomenų nutekėjimų – pavogta daugiau nei 55,3 milijono vartotojų asmeninė informacija. Incidentas įvyko dar 2025-ųjų lapkritį, tačiau viešai apie jį sužinota tik dabar, kai nepriklausomas naujienų portalas 404 Media atskleidė nutekintų duomenų egzistavimą, o saugumo tarnyba „Have I Been Pwned" (HIBP) patvirtino jų mastą.
Vėlavimas – ne atsitiktinumas. „Suno" vartotojams apie incidentą nepranešė nei tada, nei dabar.
Kas nutekėjo ir kodėl tai svarbiau nei atrodo
Nutekintame rinkinyje – ne tik el. pašto adresai, kurių HIBP įkūrėjas Troy'us Huntas suskaičiavo 55,3 milijono unikalių įrašų. Kartu pavogti telefonų numeriai, fiziniai adresai, vartotojų pirkimų istorija ir dešimtys tūkstančių „Stripe" mokėjimų sistemos įrašų su daliniais kortelių numeriais bei galiojimo datomis. Kitaip tariant, pavogta pakankamai duomenų tikslingoms sukčiavimo atakoms.
Vienas skaičius ypač iškalbingas. Hunto duomenimis, 24 procentai visų nutekintų el. pašto adresų jau anksčiau buvo figūravę kituose saugumo incidentuose. Tai reiškia, kad dalis „Suno" vartotojų dabar susiduria su sluoksniuota rizika – kelių nutekėjimų duomenys gali būti sujungiami, sukuriant išsamų aukos profilį.
Programišius, prisistatantis slapyvardžiu „ellie.191", portalui 404 Media teigė, kad prieigą prie sistemų gavo tiesiog pavogęs vieno darbuotojo prisijungimo duomenis. Vienas slaptažodis – ir 55 milijonai įrašų atsidūrė netinkamose rankose.
Išeities kodas ir ko jis iš tikrųjų mokėsi
Kartu su vartotojų duomenimis nutekėjo ir „Suno" išeities kodas. Jame – detalios instrukcijos, kaip įmonė automatiškai rinko („skrebino") milijonus dainų ir tekstų iš tokių platformų kaip „YouTube Music", „Deezer" bei dainų tekstų bazė „Genius". Bet sąrašas platesnis: į jį pateko ir akcijų muzikos bibliotekos „Pond5", „Jamendo", „Freesound", Tarptautinės muzikos natų bibliotekos projektas ir net tinklalaidės per RSS kanalus.
Tai pirmas kartas, kai „Suno" duomenų rinkimo praktika tapo viešai patikrinama – ne per teismo dokumentus, o per pavogtą kodą.
Įmonė anksčiau teigė, kad jos modeliai buvo treniruojami naudojant „iš esmės visus muzikos failus, kurie yra prieinami atvirame internete", ir kad toks naudojimas yra sąžiningas (angl. fair use). Dabar matyti, kad „atviras internetas" apėmė ir licencijuojamą turinį, ir specifines platformas, kurių naudojimo sąlygos automatinį duomenų rinkimą paprastai draudžia.
Tyla, kurią sunku pateisinti
„Suno" pozicija dėl vartotojų neinformavimo formuluojama atsargiai – ir teisiškai. Kompanijos atstovas pareiškė, kad „dėl riboto klientų informacijos, kuri, manoma, buvo įtraukta, pobūdžio nusprendėme, jog individualūs pranešimai nėra būtini pagal galiojančius privatumo įstatymus".
Formuluotė slepia esmę. Nutekėjo ne tik el. pašto adresai, bet ir mokėjimų duomenys. Tai, kad „Suno" nematė pagrindo informuoti vartotojų, kelia klausimų ne tik apie etiką, bet ir apie tai, kaip įmonė vertina savo pačios klientų duomenų jautrumą.
Kol kas „Suno" viešai nepripažino incidento savo svetainėje. TechCrunch žurnalistams įmonė nepateikė ir jokių įrodymų, kad būtų siuntusi pranešimus nukentėjusiems.
Ką rinkai sako licencijuotas kelias
Nutekėjimo laikas – neatsitiktinis konteksto atžvilgiu. „Suno" jau kelerius metus dalyvauja teisiniuose ginčuose su didžiosiomis įrašų kompanijomis. „Warner Music Group" pasiekė susitarimą ir pradėjo komercinę partnerystę su „Suno". Tačiau „Sony" ir „Universal Music Group" teisminiai procesai tęsiasi – šioms kompanijoms pavogtas kodas, atskleidžiantis masinį turinio rinkimą, yra papildomas argumentas.
Tuo pat metu rinkoje bręsta alternatyva. Izraelio DI startuolis „Aiode", treniravęs savo technologiją išskirtinai licencijuotais įrašais, neseniai buvo įsigytas Singapūro „BandLab Technologies" už dešimtis milijonų dolerių. Sandoris rodo, kad investuotojai vis labiau vertina švarų teisinį pagrindą, o ne abejotinos kilmės duomenų rinkinius – kad ir kokie dideli jie būtų.
„Suno" atvejis tampa lūžio tašku, kuriame susiduria trys problemos: vartotojų duomenų saugumo spraga, neatsakingas incidento valdymas ir vis garsesnis klausimas, ar „viskas, kas prieinama internete" gali būti laikoma laisvai prieinamais treniravimo duomenimis. Kol kas atsakymo nėra – tik 55 milijonai įrašų, kurių savininkai apie nutekėjimą vis dar nežino.
