Un hacker filtró el código fuente de la plataforma Suno, exponiendo 2 millones de canciones de YouTube Music y cientos de miles de podcasts

La estructura interna de uno de los mayores servicios de generación de música se reveló no en los tribunales, sino tras un hackeo. Los archivos obtenidos por el hacker indican que Suno recopiló masivamente canciones, letras y podcasts de YouTube Music, Deezer, Genius y otras plataformas para entrenar sus modelos.

El hacker con el seudónimo ellie.191 entregó a 404 Media el código fuente de Suno, presumiblemente correspondiente a 2023 y 2024. Los archivos contenían instrucciones sobre cómo descargar materiales y datos sobre el tamaño de conjuntos de datos. Solo de YouTube Music, según el código, el servicio obtuvo más de 2 millones de fragmentos musicales.

Entre las fuentes también se citan las bibliotecas Pond5, Jamendo, Freesound, el proyecto internacional de la biblioteca de partituras musicales y MuseScore. En uno de los archivos se enumeran cientos de miles de horas de audio. El mayor conjunto incluyó más de 152 000 horas de material de YouTube Music con anotaciones, otras 114 000 horas correspondieron a otra colección en la misma plataforma. De Pond5, los desarrolladores recopilaron alrededor de 62 000 horas de música, y de Deezer, más de 12 000.

Algunos programas buscaban en YouTube versiones de canciones sin acompañamiento instrumental para aislar la voz. Para descargar en masa los materiales, Suno, según el código, utilizó servidores proxy de la empresa Bright Data. Otra herramienta ayudó a localizar 420 000 podcasts y a preparar para la descarga aproximadamente 1 millón de horas de grabaciones.

La publicación confirma parte de las acusaciones que anteriormente presentó la Asociación Estadounidense de Compañías Discográficas. Representantes de la industria musical afirmaron que Suno copiaba composiciones protegidas por derechos de autor directamente desde YouTube y eludía las restricciones técnicas de la plataforma.

Suno ya había reconocido que entrenó sus modelos con decenas de millones de grabaciones disponibles en Internet. La empresa sostiene que procesa esos materiales de buena fe, aunque los titulares de derechos impugnan este enfoque en los tribunales.

El hacker también afirmó haber obtenido información sobre cientos de miles de clientes de Suno, incluidos correos electrónicos, números de teléfono y algunos datos relacionados con pagos a través de Stripe. Varios usuarios confirmaron a 404 Media que se registraron con los números indicados en la filtración y no recibieron notificaciones sobre el incidente.

En Suno informaron que detectaron un incidente limitado en noviembre de 2025 y lo detuvieron rápidamente. Según la compañía, el atacante obtuvo principalmente código fuente obsoleto que ya no se utiliza. Los representantes de Suno niegan que se hayan filtrado datos personales confidenciales y subrayan que el servicio no tiene acceso a los números completos de las tarjetas bancarias de los clientes.

ellie.191 afirma que accedió a la infraestructura de Suno a través de la cuenta de un empleado infectada por el gusano Shai-Hulud. La campaña maliciosa permitía robar claves de acceso a GitHub y a servicios en la nube. El hacker declaró que no perseguía un objetivo concreto y que atacó la compañía por mera curiosidad.

Suno insiste en que busca crear música nueva, no copiar obras existentes. La compañía afirma que no añade los nombres de los intérpretes en las anotaciones de los datos de entrenamiento e implementa limitaciones para evitar la imitación del estilo ajeno. Sin embargo, el código filtrado muestra la magnitud del volumen de grabaciones ajenas que el servicio necesitó para aprender a crear sus propias composiciones.