Ein Hacker unter dem Pseudonym „Ellie.191“ übergab 404 Media Quellcode, den er nach eigenen Angaben 2023 und 2024 aus Suno-Systemen erbeutet hatte. Darin fanden sich interne Aufstellungen der Datenquellen, mit denen das Musikmodell trainiert wurde. Die genannten Volumina sind erheblich: 2.013.545 Musikclips beziehungsweise 113.879 Stunden unter dem Label „youtube_music“ (plus 152.162 Stunden „ytm_tagged“), 62.117 Stunden von der Stockmusik-Bibliothek Pond5, 19.514 Stunden vom International Music Score Library Project, 17.615 Stunden von der Lyrics-Plattform Genius und 12.287 Stunden von Deezer; hinzu kommen rund 420.000 über einen Podcast-Index abgegriffene Sendungen.
Suno bestätigte den Hack nicht direkt, räumte aber gegenüber Berichterstattern einen im November 2025 entdeckten Sicherheitsvorfall ein, der „veralteten Quellcode“ betroffen habe und „schnell eingedämmt“ worden sei. Zur Datenherkunft hält das Unternehmen an seiner bekannten Linie fest: Man habe „im Wesentlichen alle Musikdateien von hinreichender Qualität, die im offenen Internet zugänglich sind“, verwendet und berufe sich auf Fair Use. Genau diese Selbstbeschreibung steht nun im Widerspruch zu den geleakten Zählern, die konkrete kommerzielle Plattformen und deren Umgehung benennen.
Die Klage der großen Labels (über die RIAA, seit 2024) wirft Suno „vorsätzliche Urheberrechtsverletzung in kaum vorstellbarem Ausmaß“ vor. Die im September 2025 geänderte Klageschrift konkretisiert den Vorwurf des „Stream-Rippings“: Suno habe Aufnahmen direkt von YouTube kopiert und dabei den „Rolling-Cipher“-Kopierschutz umgangen – ein möglicher Verstoß gegen die Anti-Umgehungs-Vorschriften des US-Copyright Act (bis zu 150.000 $ je Werk plus 2.500 $ je Umgehungs-Akt). Einordnung: Die Zahlen stammen aus geleaktem, nicht unabhängig auditiertem Material und aus der Berichterstattung dreier Fachmedien, nicht aus einer gerichtlichen Feststellung; belastbar bleibt vorerst, dass die internen Bezeichnungen die zentrale „Stream-Ripping“-These der Kläger stützen.