Un hackeo expuso el secreto de Suno: extraía contenido de YouTube para entrenar su modelo de música con IA

Un ataque a la cadena de suministro en noviembre de 2025 contra Suno, el generador de música con IA, ha expuesto más que un incidente de seguridad — ha revelado exactamente cómo la empresa construyó su modelo. Un actor no autorizado obtuvo credenciales de empleados, accedió al código fuente de Suno y encontró evidencia de que la startup había estado extrayendo audio sistemáticamente de YouTube Music, Deezer, Genius, bibliotecas de música libre de derechos y feeds RSS de podcasts durante años, según informó primero 404 Media y luego cubrió TechCrunch.

Lo que reveló el hackeo

El atacante accedió a los sistemas internos de Suno utilizando una credencial de empleado comprometida en una intrusión clásica de la cadena de suministro. Dentro del código fuente, encontraron la infraestructura que Suno utiliza para extraer y procesar audio a gran escala — específicamente dirigida a plataformas con catálogos lo suficientemente grandes para cubrir una amplia gama de estilos musicales, géneros y técnicas de producción. YouTube Music, con su combinación de lanzamientos oficiales y contenido subido por usuarios, parece haber sido la fuente principal.

Esto es importante porque Suno ha mantenido públicamente que entrena con "archivos de música disponibles públicamente" bajo la doctrina de uso justo. La documentación de la brecha sugiere que la empresa estaba evadiendo activamente las protecciones anti-scraping de YouTube, lo cual es una afirmación completamente diferente — y que contradice directamente los términos de servicio de Google y potencialmente viola la Ley de Derechos de Autor del Milenio Digital.

La batalla por los derechos de autor se vuelve más difícil de defender

Los sellos discográficos — incluyendo Universal Music Group, Sony Music y Warner Music Group — ya están demandando a Suno en tribunales federales por infracción de derechos de autor. La evidencia de la brecha es el tipo de documentación interna con la que sueñan los abogados: muestra no solo que el modelo fue entrenado con audio protegido, sino que la empresa construyó herramientas específicas para extraerlo de plataformas que prohíben el scraping.

El competidor Udio enfrenta acusaciones similares, y Google mismo está lidiando con demandas por derechos de autor de grandes editoriales por sus prácticas de entrenamiento de IA. Pero el caso de Suno parece más difícil de defender ahora que han salido a la luz herramientas internas que confirman el scraping de YouTube.

Los datos de los clientes también fueron robados — y nadie fue informado

La brecha no solo expuso la metodología de entrenamiento de Suno. El atacante también accedió a datos de clientes: direcciones de correo electrónico, números de teléfono y números parciales de tarjetas de crédito almacenados a través de Stripe. Suno calificó el incidente como "un incidente de seguridad limitado que se contuvo rápidamente" — pero no notificó directamente a los clientes afectados. Bajo regulaciones como el GDPR y la mayoría de las leyes de notificación de brechas estatales de EE.UU., esa omisión puede ser en sí misma un problema de cumplimiento dependiendo del alcance y el momento.

Para los usuarios que se registraron con una tarjeta de crédito o un número de teléfono real, la brecha es una preocupación de privacidad concreta, no solo una disputa corporativa abstracta. Suno no ha revelado públicamente cuántas cuentas se vieron afectadas.

Por qué esto sigue sucediendo

Las empresas de IA enfrentan un problema estructural de incentivos: los modelos que ganan comercialmente se entrenan con los conjuntos de datos más diversos y de alta calidad. Obtener licencias para ese audio a gran escala de los titulares de derechos es caro y lento. Extraerlo mediante scraping es rápido y barato — hasta que una brecha, una demanda o ambas cosas hacen que la estructura de costos colapse. Suno es el último ejemplo, pero casi con certeza no será el último.