Filtración del código de Suno: hackers revelan las fuentes de datos para el entrenamiento del modelo de IA
Un grave incidente de seguridad reveló detalles sobre cómo el servicio musical de IA Suno recopilaba datos para entrenar sus modelos. Un hacker bajo el seudónimo ellie.191, utilizando el gusano Shai-Hulud, penetró en los sistemas de la empresa a través de un paquete npm comprometido. El malware robaba credenciales y claves de acceso, tras lo cual el atacante obtuvo acceso al código fuente. En su interior se encontraron registros de descarga de audio desde YouTube Music, Deezer, Pond5 y otras plataformas.
El volumen de datos es impresionante: uno de los archivos registró la descarga de 2 013 545 videoclips musicales de YouTube Music con una duración total de 113 879 horas. Otro conjunto contenía 152 162 horas de grabaciones etiquetadas. En el código también figuraban 62 117 horas de Pond5, 12 287 horas de Deezer, 17 615 horas de Genius HQ y 19 514 horas de una biblioteca de partituras musicales. El plan incluía la descarga de aproximadamente 1 millón de horas de podcasts de 420 000 fuentes RSS, pero la implementación de esta etapa sigue siendo incierta.
Suno confirmó el incidente, detectado en noviembre de 2025, pero afirmó que afectó principalmente a código obsoleto y que los datos confidenciales de los usuarios no se vieron comprometidos. Sin embargo, la empresa no publicó un informe técnico, lo que genera dudas sobre la veracidad de sus declaraciones. El hacker afirma haber obtenido acceso a cientos de miles de registros, incluidos correos electrónicos y números de teléfono.
Esta filtración está directamente relacionada con las demandas judiciales de los principales sellos discográficos. Universal Music Group y Sony Music Entertainment exigen agregar a la demanda 61 026 grabaciones descubiertas en los datos de entrenamiento de Suno mediante tecnología de huellas dactilares de audio. Los sellos afirman que el servicio utilizó herramientas como YT-DL para eludir la protección de YouTube, lo que constituye una violación de la DMCA. El código filtrado, que muestra la descarga desde YouTube a través de un proxy, podría convertirse en una prueba contundente en esta disputa.
Mi análisis: Este incidente subraya un problema sistémico en la industria de la música con IA: la línea entre el "uso legítimo" y la violación directa de derechos de autor se vuelve cada vez más difusa. Suno probablemente tendrá que reconsiderar sus métodos de recopilación de datos para evitar consecuencias legales. La asociación con Warner Music Group en noviembre de 2025, que incluía un acuerdo de licencia, muestra que el mercado avanza hacia la legalización, pero la filtración podría acelerar este proceso para todos los actores.