Un hacker ha consegnato a 404 Media materiale interno di Suno che sembra indicare da dove il generatore musicale AI abbia tratto i dati di addestramento — e la singola fonte più grande elencata è YouTube Music. Il servizio, pubblicato il 15 luglio da Jason Koebler, arriva mentre Suno è sotto causa da parte delle case discografiche, che sostengono proprio questo.
Cosa è stato sottratto
Il materiale proviene da un attacco alla supply chain nel novembre 2025 che ha compromesso le credenziali di un dipendente ed esposto il codice sorgente di Suno. Ciò che l’hacker ha fornito è codice sorgente del 2023 e del 2024, file di configurazione per lo scraping e documentazione sull’ambito dei dataset — non memo strategici né corrispondenza dirigenziale. Nel breach sono stati coinvolti anche dati dei clienti, inclusi email e numeri di telefono. Suno conferma la data di novembre. Nessun’altra testata ha autenticato in modo indipendente i file.
I numeri nei file
La documentazione elenca 2.013.545 clip di YouTube Music per un totale di 113.879 ore, oltre a un insieme separato “YTM Tagged” di 152.162 ore. Subito sotto: Pond5 con 62.117 ore, IMSLP con 19.514, Genius con 17.615, Deezer con 12.287, Jamendo con 3.726 e Freesound con 410. Circa 1 milione di ore proveniva da circa 420.000 podcast tramite feed RSS. I rappresentanti di YouTube Music, Deezer, Genius e delle stock library non hanno risposto alle richieste di commento di 404 Media.
La posizione di Suno
Suno non ha smentito lo scraping. "Come abbiamo dichiarato in documenti e comunicazioni pubbliche, i modelli di IA di Suno sono stati addestrati su file musicali pubblicamente disponibili e metadati correlati accessibili su siti web di terze parti presenti nell’open Internet", ha affermato un portavoce, aggiungendo che nel novembre 2025 la società "ha accertato di essere stata oggetto di un incidente di sicurezza limitato, rapidamente contenuto". Il portavoce ha detto che l’incidente "ha riguardato principalmente codice sorgente obsoleto che non è più in uso" e che nessuna informazione personale sensibile è stata compromessa. In tribunale, Suno ha già ammesso di aver addestrato i propri modelli su "praticamente tutti i file musicali di qualità ragionevole accessibili sull’open internet".
Perché i file contano sul piano legale
La denuncia emendata delle etichette di settembre 2025 ha aggiunto una teoria anti-elusione ai sensi del DMCA §1201 — sostenendo che Suno abbia aggirato il “rolling cipher” di YouTube per estrarre l’audio — con l’RIAA che chiede 2.500 dollari per ogni atto di elusione oltre ai danni per singola opera. Suno sostiene che il cipher sia un controllo di copia, non un controllo di accesso. Warner Music ha raggiunto un accordo nel novembre 2025, concedendo in licenza il proprio catalogo e vendendo Songkick a Suno; UMG e Sony restano parti attrici. Nessun tribunale si è pronunciato sul fair use o sull’elusione.