Hack expôs segredo da Suno: empresa raspou YouTube para treinar seu modelo de música com IA

Um ataque à cadeia de suprimentos em novembro de 2025 contra a Suno, geradora de música com IA, expôs mais do que um incidente de segurança — revelou exatamente como a empresa construiu seu modelo. Um agente não autorizado obteve credenciais de funcionários, acessou o código-fonte da Suno e encontrou evidências de que a startup vinha raspando áudio sistematicamente do YouTube Music, Deezer, Genius, bibliotecas de música livre de royalties e feeds RSS de podcasts por anos, conforme relatado primeiro pelo 404 Media e depois pelo TechCrunch.

O que o hack revelou

O invasor acessou os sistemas internos da Suno usando uma credencial de funcionário comprometida em uma intrusão clássica na cadeia de suprimentos. Dentro do código-fonte, encontraram a infraestrutura que a Suno usa para extrair e processar áudio em escala — visando especificamente plataformas com catálogos grandes o suficiente para cobrir uma ampla gama de estilos musicais, gêneros e técnicas de produção. O YouTube Music, com sua combinação de lançamentos oficiais e conteúdo enviado por usuários, parece ter sido a fonte principal.

Isso é importante porque a Suno manteve publicamente que treina com "arquivos de música disponíveis publicamente" sob a doutrina de uso justo. A documentação da violação sugere que a empresa estava ativamente contornando as proteções anti-raspagem do YouTube, o que é uma alegação completamente diferente — e que contradiz diretamente os termos de serviço do Google e potencialmente viola a Lei de Direitos Autorais do Milênio Digital.

A batalha de direitos autorais ficou mais difícil de defender

As gravadoras — incluindo Universal Music Group, Sony Music e Warner Music Group — já estão processando a Suno em tribunal federal por violação de direitos autorais. As evidências da violação são o tipo de documentação interna com que advogados sonham: mostram não apenas que o modelo foi treinado com áudio protegido, mas que a empresa construiu ferramentas específicas para extraí-lo de plataformas que proíbem raspagem.

O concorrente Udio enfrenta acusações semelhantes, e o próprio Google está lidando com processos de direitos autorais de grandes editoras sobre suas práticas de treinamento de IA. Mas o caso da Suno parece mais difícil de defender agora que ferramentas internas confirmando a raspagem do YouTube vieram à tona fora da empresa.

Dados de clientes também foram roubados — e ninguém foi avisado

A violação não expôs apenas a metodologia de treinamento da Suno. O invasor também acessou dados de clientes: endereços de e-mail, números de telefone e números parciais de cartão de crédito armazenados via Stripe. A Suno classificou o incidente como "um incidente de segurança limitado que foi rapidamente contido" — mas não notificou diretamente os clientes afetados. Sob regulamentações como o GDPR e a maioria das leis estaduais dos EUA sobre notificação de violações, essa omissão pode ser em si um problema de conformidade, dependendo do escopo e do momento.

Para usuários que se inscreveram com cartão de crédito ou número de telefone real, a violação é uma preocupação concreta de privacidade, não apenas uma disputa corporativa abstrata. A Suno não divulgou publicamente quantas contas foram afetadas.

Por que isso continua acontecendo

As empresas de IA enfrentam um problema estrutural de incentivo: os modelos que vencem comercialmente são treinados com os conjuntos de dados mais diversos e de alta qualidade. Licenciar esse áudio em escala dos detentores de direitos é caro e lento. Raspar é rápido e barato — até que uma violação, um processo judicial, ou ambos, façam a estrutura de custos desabar. A Suno é o exemplo mais recente, mas quase certamente não será o último.