Leaked Reveals Suno Ha Inviato Migliaia di Ore di Dati di Deezer, YouTube e Pond5 nel Suo AI

Un hacker è riuscito a infiltrarsi nella piattaforma musicale AI Suno e ha portato via il codice sorgente che documenta, in dettaglio preciso, da dove provengono i dati di addestramento dell'azienda.

La violazione è stata riportata per la prima volta da 404 Media, che ha esaminato i file trapelati. Questo conferma ciò che l'industria musicale stava dicendo nei tribunali dal 2024.

L'intruso afferma di aver utilizzato un malware chiamato worm Shai-Hulud, nominato dopo i giganteschi vermi di sabbia nel Dune di Frank Herbert. Suno, uno dei più grandi generatori musicali AI online, consente agli utenti di digitare una descrizione testuale e ricevere una canzone completa in pochi secondi; costruire questa capacità ha richiesto un sostanziale dataset di addestramento, una raccolta di file audio utilizzati per insegnare al modello come suonano i diversi generi e stili.

Il materiale trapelato consiste in istruzioni di scraping e registri interni del 2023 e 2024, offrendo uno sguardo raro su come vengono effettivamente assemblati quei pipeline.

La suddivisione del dataset è specifica. Secondo i commenti nei file interni esaminati da 404 Media, la libreria di addestramento includeva 113.879 ore di YouTube Music, 152.162 ore di brani taggati di YouTube, 62.117 ore dalla libreria musicale stock Pond5, 12.287 ore da Deezer e 17.615 ore in un dataset etichettato genius_hq, associato a materiale raccolto tramite Genius. Il codice documentava anche piani per scaricare circa 1 milione di ore di audio di podcast tramite feed RSS.

Un file interno che tracciava l'ingestione di YouTube Music ha registrato da solo 2.013.545 clip musicali. Si tratta di milioni di registrazioni che coprono decenni di audio, e l'appetito non si limitava alla musica.

L'hacker ha affermato di aver avuto accesso a registri associati a centinaia di migliaia di clienti, comprese email, numeri di telefono e informazioni relative a Stripe. Suno contesta che informazioni personali sensibili siano state compromesse.

L'azienda afferma di aver identificato l'incidente nel novembre 2025 e lo ha definito "limitato". Suno ha determinato che l'esposizione riguardava principalmente codice sorgente obsoleto non più in uso e ha concluso che le notifiche individuali ai clienti non erano richieste secondo le leggi sulla privacy applicabili. Gli utenti lo scoprono solo ora, attraverso la copertura mediatica.

Ecco il punto: Suno aveva già detto a chiunque fosse disposto a leggere il proprio sito web che qualcosa del genere stava accadendo. Sotto la legge AB 2013 della California, che richiede alle aziende AI di divulgare le proprie pratiche di addestramento, l'azienda ha riconosciuto pubblicamente che i suoi dati di addestramento potrebbero includere musica "soggetta a protezione della proprietà intellettuale" e ha elencato il corpus in decine di milioni di file audio musicali disponibili pubblicamente. Ciò che l'hack aggiunge è specificità: il deposito legale era vago per design, e il codice trapelato non lo è.

L'ambito dell'addestramento musicale AI stava già diventando chiaro prima che qualcuno violasse qualcosa. Nel giugno 2026, The Atlantic ha pubblicato quattro database ricercabili che documentano la musica utilizzata per addestrare i modelli AI, uno contenente 12 milioni di brani, un altro con 9 milioni e altri due con circa 100.000 ciascuno. Si poteva cercare il proprio artista preferito prima che un hacker consegnasse a qualcuno il codice sorgente.

L'Associazione dell'Industria Discografica Americana aveva sostenuto in un emendamento del 2025 alla sua causa originale del 2024 contro Suno che l'azienda stava rubando canzoni direttamente da YouTube, un'accusa che Suno ha contestato sotto una difesa di uso equo. La causa cercava 150.000 dollari per ogni incidente di violazione. Il codice sorgente hackerato conferma l'accusa centrale della RIAA.

Udio, che è stato preso di mira in una causa parallela presentata dalla stessa coalizione di etichette major, ha raggiunto un accordo con Warner Music nel novembre 2025 ed è ora in fase di transizione verso una piattaforma autorizzata. Il caso di Suno con Sony e UMG rimane attivo in tribunale federale; la valutazione dell'azienda si attesta a 5,4 miliardi di dollari con circa 100 milioni di utenti sulla piattaforma.

Suno non ha immediatamente risposto a una richiesta di commento da parte di Decrypt.