El hackeo proporciona una visión sin precedentes de cómo Suno construyó sus modelos de inteligencia artificial, un proceso que ha generado múltiples demandas por infracción de derechos de autor de sellos discográficos importantes como Universal Music Group y Sony Music Entertainment, así como de la Asociación de la Industria Discográfica de Estados Unidos (RIAA).

Según los reportes de 404 Media, el atacante, identificado como "ellie.191", utilizó un ataque a la cadena de suministro en noviembre de 2025 para acceder a las credenciales de un empleado de Suno, lo que le permitió acceder al código fuente que mostraba cómo la empresa raspó décadas de audio de múltiples plataformas. El código incluía instrucciones específicas para extraer archivos de YouTube Music, Deezer, Genius, Pond5, Jamendo, Freesound y la Biblioteca Internacional de Partituras Musicales (IMSLP).

Los datos filtrados revelan la escala masiva de la operación de raspado de datos. Un archivo de YouTube Music indicaba que Suno había consumido 2.013.545 clips de YouTube Music en el momento de su última actualización, según Variety. Otro archivo mostraba que los conjuntos de datos compilados por Suno incluían 113.879 horas de contenido de Genius, 62.117 horas de Pond5, 19.514 horas de IMSLP, 12.287 horas de Deezer, 3.726 horas de Jamendo, 410 horas de Freesound y 103 horas de letras de MuseScore, según reportes de The Verge. Además, el código filtrado sugiere que Suno utilizó una empresa tercera llamada Bright Data para raspar música de YouTube y aparentemente buscó versiones a capella de canciones en la plataforma para obtener audio solo de voces.

El hackeo también reveló que Suno intentó descargar aproximadamente un millón de horas de podcasts mediante una herramienta en línea llamada PodcastIndex, según código adicional obtenido por 404 Media.

Suno ha reconocido públicamente que entrena sus modelos de IA en "archivos de música disponibles públicamente" en internet abierto, argumentando que puede entrenar en material protegido por derechos de autor bajo la doctrina de uso justo, una excepción subjetiva de la ley de derechos de autor. Sin embargo, según los principales sellos discográficos que demandan activamente a Suno, es ilegal bajo la Ley de Derechos de Autor del Milenio Digital (DMCA) eludir deliberadamente las protecciones de YouTube contra el raspado de datos; también viola los términos de servicio de YouTube.

Un portavoz de Suno declaró a 404 Media que la empresa se enteró del incidente de seguridad en noviembre de 2025 y que la situación fue contenida rápidamente. "En ese momento, realizamos inmediatamente una investigación y verificamos que el incidente involucraba principalmente código fuente obsoleto que ya no está en uso en Suno y que no se comprometió información personal sensible", según TechCrunch. El portavoz añadió que Suno no tiene acceso a números de tarjeta de crédito completos en Stripe y que, debido a la naturaleza limitada de la información del cliente involucrada, determinó que las notificaciones individuales no eran necesarias bajo las leyes de privacidad aplicables.

Sin embargo, el hackeo también expuso datos de clientes de Suno, incluyendo direcciones de correo electrónico, números telefónicos y detalles de pago de Stripe. Algunos clientes contactados por 404 Media confirmaron que se habían registrado en el servicio y dijeron que Suno nunca los notificó sobre la violación de seguridad. Suno no notificó a los clientes sobre la violación de noviembre de 2025, afirmando que fue un "incidente de seguridad limitado que fue contenido rápidamente", según TechCrunch.

La empresa ha argumentado en presentaciones públicas y divulgaciones que sus modelos de IA han sido entrenados en "archivos de música disponibles públicamente y metadatos relacionados accesibles en sitios web de terceros en internet abierto". Suno también ha afirmado que ha introducido medidas para prevenir que sus usuarios produzcan canciones similares a las raspadas durante el entrenamiento. "Nuestro objetivo siempre ha sido ayudar a las personas a crear música original nueva, no replicar la de otro. Por eso construimos nuestros modelos alrededor de lo que llamamos 'Creación Original, Por Diseño'", declaró un portavoz de Suno según Variety. "Por ejemplo, intencionalmente no usamos nombres de artistas como una categoría de metadatos de entrenamiento porque queremos que nuestros modelos ayuden a las personas a crear canciones completamente nuevas, no música que replique el trabajo existente de otros artistas. También es por eso que construimos Suno con filtros de detección que bloquean o previenen que un usuario use nombres específicos de artista, canción o álbum como indicaciones, y previenen que los usuarios carguen letras o grabaciones de sonido que coincidan con obras existentes".

Udio, un competidor de Suno, también ha sido acusado de raspar datos de YouTube. Google, la empresa matriz de YouTube, enfrenta acusaciones similares de infracción de derechos de autor de una variedad de grandes editoriales de libros.

Los representantes de Deezer, YouTube Music, Genius y las bibliotecas de stock raspadas no respondieron a solicitudes inmediatas de comentarios, según Variety.

Warner Music Group llegó a un acuerdo con Suno el año pasado, y los dos están desarrollando actualmente un nuevo modelo del generador de música, según Variety. Este acuerdo contrasta con las demandas continuas de Universal Music Group, Sony Music Entertainment y la RIAA.

El hackeo pone de relieve las tensiones continuas entre las empresas de IA y la industria creativa sobre cómo se entrenan los modelos de IA y qué constituye un uso justo de material protegido por derechos de autor. La RIAA ha alegado en una enmienda presentada el año pasado que Suno eludió ilegalmente las protecciones de derechos de autor de YouTube al "ripear" deliberadamente pistas de la plataforma, una acusación que ahora está respaldada por el código filtrado que sugiere que Suno utilizó Bright Data para raspar música de YouTube.