15 Temmuz 2026 tarihinde, Suno'nun iç kaynak kodu — yapay zeka tabanlı en büyük müzik jeneratörlerinden biri — halka açık hale geldi. Bu sızıntı, davacıların yıllardır mahkemelerde elde etmeye çalıştığı şeyi gerçekleştirdi: hizmetin eğitim için verileri nereden aldığına dair kesin rakamlar gösterdi. Cevap — tüm internetten, endüstriyel veri kazıma ile, proxy altyapısı olmadan fiziksel olarak mümkün olmayan bir ölçekle. Ne olduğunu ve bu hikayenin neden tüm yapay zeka endüstrisinin taşıyıcı katmanıyla ilgili olduğunu, sadece bir hizmetle değil, anlamaya çalışıyoruz.
Ne oldu: hack, Suno'nun mutfağını açığa çıkardı
404 Media ve TechCrunch'a göre, ellie.191 takma adlı bir hacker, 2025 yılı Kasım ayında Suno'nun sistemlerine tedarik zinciri saldırısı — Shai-Hulud solucanı aracılığıyla — erişim sağladı. GitHub ve bulut hizmetlerinin kimlik bilgilerini toplayan bu solucan, bir çalışanın hesabını tehlikeye atarak kaynak kodunu ve iç yapılandırmaları dışarı aktardı; bununla birlikte, Suno'nun yüz binlerce müşterisine dair bilgileri ve Stripe üzerinden ödeme bilgilerini (e-posta, telefonlar, kart numaralarının kısımları) de ele geçirdi.
Olayın kendisi 2025 yılının sonunda gerçekleşti, ancak Suno kullanıcıları bilgilendirmedi ve hala bunu "hızla yerelleştirilen sınırlı bir güvenlik olayı" olarak adlandırıyor. Kamuya açık materyaller yalnızca şimdi, Temmuz 2026'da ortaya çıktı — ve sızıntının ana değeri kişisel verilerde değil, eğitim veri setinin kaynaklarını ve hacimlerini listeleyen kod yorumlarında yatıyor.
Gösterilmek istenmeyen rakamlar
Daha önce Suno, "açık internette mevcut olan kabul edilebilir kalitedeki tüm müzik dosyaları üzerinde eğitim yapıldığı" gibi belirsiz ifadelerle geçiştiriyordu; bu "onlarca milyon kayıt" olarak tanımlanıyordu. Sızan kod, belirsizliği somut verilerle değiştirdi. İşte modele gerçekten dahil edilenler:
- YouTube Music — 2 013 545 müzik videosu, 113 879 saat; ayrı etiketlenmiş "YTM Tagged" kümesi — 152 162 saat daha;
- Pond5 (stok müzik) — 62 117 saat;
- IMSLP (Uluslararası Müzik Notası Kütüphanesi Projesi) — 19 514 saat;
- Genius (şarkı sözleri) — 17 615 saat;
- Deezer — 12 287 saat;
- Jamendo — 3 726 saat;
- Freesound — 410 saat;
- MuseScore — sözler ve notalar;
- RSS üzerinden podcastler — kod, 30 dakikadan uzun beş veya daha fazla bölüm içeren yaklaşık 420 000 podcast belirledi ve yaklaşık 1 milyon saat ses kaynağı çekmeyi hedefledi.
Kod içindeki yorumlar, yorumlara yer bırakmıyor: sistem, "genius_hq, youtube_music, freesound, jamendo, imslp, deezer, ytm_tagged" verilerini çekiyordu ve "müzik dışı içerik, son işlemde filtreleniyordu". Bunlar gri alanlar veya rastgele yüklemeler değil — bu, mevcut webden veri toplamak için tasarlanmış bir konveyör.
Neden böyle bir şey proxy olmadan mümkün değil
Gürültülü rakamların arkasında kolayca gözden kaçabilecek bir ana detay: YouTube Music, Deezer ve çoğu akış platformu, toplu indirmelere karşı agresif bir şekilde korunmaktadır. IP başına sert istek limitleri, davranışsal ve TLS parmak izi, captcha'lar, IP yasakları — bunlar hakkında düzenli olarak yazıyoruz. İki milyon klip ve yüz binlerce saat ses kaynağını tek bir veya hatta yüzlerce adresten çekmek mümkün değildir: platformun altyapısı, ilk bin istekten sonra kaynağı engeller.
Böylesine büyük bir konveyörün aylarca çalışabilmesi için, gerçek kullanıcılar gibi görünen binlerce farklı IP'nin döngüsü gereklidir — yani rezidans ve mobil proxyler. Veri merkezi adresleri popüler akış platformlarında hemen hemen anında ASN ile engellenir. İndirme mekanizması ise tipik — bir proxy katmanı ile birlikte yt-dlp gibi bir bağlantı; bunu YouTube'dan yt-dlp ve proxy ile indirme kılavuzunda detaylı olarak inceledik. Suno sızıntısı, bu "görünmeyen taşıyıcı katmanın" ölçeğini dışarıdan görebildiğimiz nadir bir durumdur: modelin kendisi bir vitrin, altında ise yıllardır içerik çeken bir proxy çiftliği dönmektedir.
Bu, 2026'da proxy pazarının, veri kazıyıcılar için niş bir araç değil, yapay zeka için bir altyapı olarak algılanmasının nedenini de açıklıyor. Her büyük eğitim veri seti — müzik, metin, video — öncelikle toplama lojistiğidir: binlerce IP, tespit aşılması, yük dağılımı. Bu katmanı daha derin anlamak istiyorsanız, yapay zeka için proxyler ve veri seti toplama üzerine ayrı bir incelememiz var.
Hukuki tuzak: mesele proxy değil, neyin ve nereden toplandığı
Suno daha önce büyük plak şirketleriyle dava açmıştı ve sızıntı onların pozisyonunu güçlendiriyor. Şirket, kamuya açık müzik üzerinde eğitim yapmanın yasal olduğunu savunan iyi niyetli kullanım doktrinini öne sürüyor. Ancak hak sahiplerinin daha ciddi bir kozu var — DMCA. Onların argümanı: YouTube'dan endüstriyel ölçekte veri kazıma, platformun otomatik indirmelere karşı koyduğu teknik koruma önlemlerinin aşılması anlamına geliyor. Ve bu tür önlemleri aşmak, sonuçta iyi niyetli kullanım tartışmasının nasıl biteceğinden bağımsız olarak ayrı bir ihlal olarak kabul edilir. Aynı izleri takip eden davalar, Suno'nun rakibi Udio'ya karşı da açıldı; bu hizmet de benzer bir YouTube veri kazıma ile suçlanıyor.
Veri toplayan herkes için burada çıkarılacak sonuç, GDPR kapsamında veri kazıma için EDPB kılavuzunda olduğu gibi: proxyler teknik erişim sorununu çözer, ancak hukuki dayanak sağlamaz. Rezidans IP, sizi sıradan bir ziyaretçiye benzetir — platformun kullanım şartlarını, telif haklarını ve DMCA'yı ortadan kaldırmaz. Hukuki çerçeve, NE ve NEDEN topladığınızla belirlenir, trafiğinizin ne kadar temiz göründüğüyle değil.
Bundan ne çıkarılabilir
Hiç müzik toplamadıysanız bile, Suno davası — 2026 yılında veri toplama üzerine yoğun bir ders:
- Ölçek, proxy'lere dayanıyor. Akış ve korunan platformlardan ciddi bir veri toplama, döngüsel rezidans veya mobil IP gerektirir — veri merkezi ASN ile dakikalar içinde engellenir. Proxy türü, amaca göre seçilir: geniş web için rezidans, en agresif anti-bot sistemleri için mobil.
- Teknik erişim ≠ hak. Anti-veri kazıma korumalarını aşmak, DMCA ve kullanım şartlarının ihlali olarak nitelendirilebilir. Teknik engeller olmadan açık verileri korumalı içerikten ayırın — bunlar farklı risk seviyeleridir.
- Proxy'lerin hijyeni ve kökeni önemlidir. NetNut gibi botnetlerin ortadan kaldırılmasıyla birlikte, rezidans IP'lerin kökeni seçim kriteri haline geldi: şeffaf bir sağlayıcıdan temiz bir havuz — hem istikrar hem de hukuki risklerin azaltılması sağlar.
- Veriler yöntemlerle birlikte sızar. Suno yıllarca doğrudan veri kazımayı reddetti — ve bir hack, tüm bu ifadeleri sıfırladı. Pipeline'ınızı, yarın mahkemede okunacakmış gibi inşa edin.
Sonuç
Suno'nun hacklenmesi, kişisel verilerden ziyade, büyük bir yapay zeka ürününün iç yüzünü ilk kez somut rakamlarla göstermesi açısından ilginçtir: YouTube Music'ten 2 013 545 video, onlarca kaynak, planlanan bir milyon saat podcast. Bu rakamların arkasında, yapay zeka sihri değil, basit bir veri toplama lojistiği yatmaktadır: proxy çiftliği, tespit aşılması, aylarca veri çekme. Son yıllardaki yapay zeka yarışı, büyük ölçüde veri yarışı ve veri yarışı, erişim altyapısı yarışı haline geldi. Suno, bu altyapıyı gözetleyen birisi olarak ortaya çıktı.
Yasal veri toplama yapıyorsanız — analiz, model eğitimi veya izleme için — doğru taşıyıcı katmanla başlayın: temiz rezidans ve mobil proxyler ile şeffaf bir köken. Erişim tekniği çözülebilir; önemli olan, bunu yasal ve sağduyu çerçevesinde tutmaktır.