Gehackte broncode Suno onthult 2 miljoen YouTube-clips en 62.000 uur Pond5-audio voor AI-training

Een hacker drong maanden geleden de systemen van Suno binnen en ging ervandoor met iets wat de AI-muziekindustrie nog nooit vrijwillig heeft prijsgegeven: haar eigen broncode. Die gestolen code, gedeeld met 404 Media, documenteert tot in detail precies waar het bedrijf de trainingsdata voor zijn generatieve muziekplatform vandaan haalde. En het bewijsmateriaal is vernietigend.

De gelekte code noemt namen. YouTube Music, Deezer, Genius, Pond5 — ze staan er letterlijk in als databronnen. Volgens cijfers aangehaald in een LinkedIn-post van Peter Madigan over de lek, scrapete Suno alleen al zo’n 2 miljoen clips van YouTube Music. Pond5, een marktplaats voor stockmuziek en geluidseffecten, leverde zo’n 62.000 uur aan audio. En het ging niet alleen om commerciële tracks. 404 Media omschrijft de buit als “decennia aan muziek en podcasts van het internet”, variërend van audio-opnames en songteksten van Genius tot gesproken content.

Dit is de eerste keer. De eerste keer dat interne documentatie over de datavergaringspraktijken van Suno publiekelijk opduikt, welteverstaan. AI-muziekbedrijven hebben steevast geweigerd hun trainingsdatabronnen openbaar te maken, met als argument concurrentiegevoeligheid en, in sommige gevallen, lopende rechtszaken. De lek veegt die onduidelijkheid volledig van tafel. De code windt er geen doekjes om — noemt platforms bij naam, beschrijft de scraping-routines en kwantificeert de hoeveelheid auteursrechtelijk beschermd materiaal die in het systeem is ingevoerd.

Ongelukkige timing voor Suno

Het bedrijf is al gedaagde in een rechtszaak wegens auteursrechtinbreuk, aangespannen door de RIAA namens grote platenlabels, ingediend bij de rechtbank van het District of Massachusetts in juni 2024. In die zaak wordt gesteld dat Suno zijn modellen heeft getraind op enorme hoeveelheden auteursrechtelijk beschermde opnames zonder licentie. Nu levert de gelekte broncode mogelijk bewijstechnische context op — in feite een routekaart van precies het soort systematisch scrapen waarvan de labels Suno beschuldigen. Voor alle duidelijkheid: de hack en de daaropvolgende lek staan los van de RIAA-rechtszaak. De inbraak vond maanden voor de publicatie van de lek plaats en er is geen direct verband tussen beide vastgesteld. Maar de code geeft de eisers en hun advocaten iets concreets om naar te wijzen. Interne documentatie, geen afleiding.

Decrypt en Yahoo Tech berichtten later ook over de zaak, waarmee het bestaan van de lek en de in de code genoemde platforms door meerdere media werden bevestigd. De kernbevindingen zijn in alle berichtgeving overeind gebleven.

Suno heeft niet publiekelijk gereageerd op de specifieke beschuldigingen die voortvloeien uit de gelekte broncode. Stilte. Dat past in een patroon dat vaker voorkomt bij AI-bedrijven die onder vuur liggen vanwege hun trainingsdata — niets zeggen over de data, in de rechtbank fair use aanvoeren, en de rechtszaak zijn gang laten gaan. Of die strategie standhoudt nu er interne code opduikt die lijkt aan te tonen dat miljoenen clips van met naam genoemde platforms zijn gescrapet? Een open vraag.

Waarom de Pond5-kwestie ertoe doet

De kwestie rond Pond5 weegt bijzonder zwaar. Pond5 is een stockmediaplatform waar bijdragers hun werk onder bepaalde voorwaarden in licentie geven voor specifieke commerciële toepassingen — filmmuziek, reclames, videoproducties. Het massaal scrapen van die catalogus voor AI-training zonder licentie zou die voorwaarden hoogstwaarschijnlijk regelrecht schenden, en bijdragers die royalty-gelicentieerde tracks hebben geüpload, hebben mogelijk claims die verder reiken dan het platform zelf. YouTube Music en Deezer roepen afzonderlijke maar verwante vragen op: beide hosten auteursrechtelijk beschermde opnames onder licentieovereenkomsten met rechthebbenden die vrijwel zeker geen doorverspreiding naar trainingsbestanden van externe AI-bedrijven toestaan.

Waarom deze lek anders is

Wat de gelekte code zo belangrijk maakt, is de precisie ervan. Eerdere berichtgeving over AI-trainingspraktijken — op het gebied van muziek, tekst en beeldgeneratie — leunde op forensische analyse, gelijkenissen in output en rechtbankstukken om af te leiden welke data werd gebruikt. De lek bij Suno is anders. Het betreft de eigen technische documentatie van het bedrijf, geschreven voor intern gebruik, die de verwerkingspijplijn in operationele termen beschrijft. Je hoeft niet te gokken wat Suno heeft gescraped. De code vermeldt wat er is gescraped, waar het vandaan komt en ongeveer hoeveel het was.

Voor een industrie die haar concurrentievoordeel heeft opgebouwd op geheimhouding van data, is dit een doorbraak met weinig precedenten. De RIAA-rechtszaak zal volgens haar eigen tijdlijn verder lopen bij de rechtbank van het District of Massachusetts, maar de gelekte code bevindt zich nu in het publieke domein — beschikbaar voor eisers, voor platformbeheerders wier voorwaarden mogelijk zijn geschonden, en voor bijdragers die wellicht nooit hebben ingestemd met het gebruik van hun werk voor het trainen van een machinelearningmodel. Houd de volgende rechtbankstukken van Suno in de RIAA-zaak in de gaten, waarin het bedrijf de code vermoedelijk rechtstreeks zal moeten aanpakken.