Hack expõe como Suno raspou YouTube, Deezer e Genius para

Um hacker que se identificou como ellie.191 invadiu a Suno, uma das maiores ferramentas de geração de música por inteligência artificial, e expôs detalhes sobre como a empresa raspou dados de treinamento. De acordo com informações compartilhadas com o 404 Media, o código-fonte vazado mostra que a Suno coletou milhões de músicas e letras de plataformas como YouTube Music, Deezer, Genius, além de bibliotecas de música livre como Pond5, Jamendo, Freesound e o International Music Score Library Project. O hacker também obteve acesso a dados de centenas de milhares de clientes, incluindo e-mails, números de telefone e informações de pagamento do Stripe. A revelação ganha relevância no contexto das ações judiciais movidas pela indústria fonográfica contra a Suno. A Recording Industry Association of America (RIAA) já havia acusado a empresa de extrair músicas diretamente do YouTube, o que agora é confirmado pelos arquivos hackeados. A Suno, em processos anteriores, admitiu ter treinado seus modelos com “essencialmente todos os arquivos de música de qualidade razoável acessíveis na internet aberta”, mas nunca detalhou as fontes específicas. O caso levanta novamente o debate sobre o uso de obras protegidas por direitos autorais para treinar IA, com a Suno argumentando que isso se enquadra no fair use. Os códigos vazados, aparentemente de 2023 e 2024, contêm instruções de raspagem e métricas do volume coletado. Por exemplo, um arquivo chamado “youtube_music” indica que foram ingeridos 2.013.545 clipes musicais. Outro documento lista datasets da Suno, incluindo 113.879 horas de YouTube Music, 17.615 horas de Genius, 62.117 horas de Pond5 e 12.287 horas de Deezer, totalizando centenas de milhares de horas — o equivalente a décadas de música. A empresa também usou proxies da Bright Data para burlar restrições do YouTube e, com a ferramenta PodcastIndex, identificou 420 mil podcasts, baixando cerca de 1 milhão de horas de áudio. Em nota, um porta-voz da Suno afirmou que o incidente de segurança ocorreu em novembro de 2025, foi rapidamente contido e envolveu “código-fonte antigo que não está mais em uso”. A empresa negou que dados sensíveis de clientes, como números completos de cartão de crédito, tenham sido comprometidos, e disse que não considerou necessário notificar individualmente os usuários afetados. O caso reforça a pressão sobre empresas de IA generativa para que sejam transparentes sobre suas práticas de coleta de dados, enquanto a indústria musical busca na Justiça limitar o uso não autorizado de obras protegidas.