Des instructions et des journaux pour télécharger de l'audio depuis YouTube Music, Deezer, Pond5 et d'autres plates-formes pour les modèles de formation ont été trouvés dans le code source volé du service Suno Music AI. Les journalistes de 404 Media ont rendu compte des résultats de leur enquête.
Un pirate informatique sous le surnom d'ellie.191 a déclaré à la publication qu'il avait eu accès aux systèmes Suno après avoir infecté l'ordinateur de l'un des employés avec le ver Shai-Hulud. Le malware s'est propagé via des packages npm compromis et a volé des informations d'identification, des jetons et des clés d'accès.
Le rôle exact d'Ellie.191 dans l'attaque n'a pas été établi. Selon Douilleil aurait pu participer à l'infection initiale ou utiliser les informations d'identification que le ver avait précédemment publiées dans un référentiel GitHub public.
Le pirate informatique a déclaré avoir obtenu des informations sur des centaines de milliers d'utilisateurs, notamment des adresses e-mail, des numéros de téléphone et des informations relatives à Stripe. Les journalistes ont vérifié les dossiers individuels par l'intermédiaire de leurs propriétaires présumés, mais l'ampleur et la composition de la fuite n'ont pas été établies de manière indépendante.
La société a confirmé l'incident découvert en novembre 2025 et a souligné qu'elle ne stockait pas les numéros complets de carte bancaire des clients dans Stripe.
« L'incident a été rapidement localisé. Il a principalement affecté le code existant. Aucune donnée personnelle sensible n'a été compromise », a déclaré un porte-parole de Suno.
Cependant, le service n'a pas publié de rapport technique permettant de vérifier la liste des systèmes concernés et les catégories d'informations.
Quelles données ont été trouvées dans le code ?
Selon 404 Media, l'un des fichiers enregistrait le téléchargement de 2 013 545 vidéos musicales depuis YouTube Music, totalisant 113 879 heures. Un autre ensemble, intitulé ytm_tagged, comprenait 152 162 heures de séquences YouTube taguées.
Le code comprenait également 62 117 heures de musique de Pond5, 12 287 heures de Deezer, 17 615 heures de l'ensemble Genius_hq et 19 514 heures du projet International Music Score Library. Jamendo a duré 3 726 heures, Freesound 410 heures et musescore_lyrics 103 heures.
Un autre fichier décrivait un projet visant à télécharger environ 1 million d'heures de podcasts à partir d'environ 420 000 flux RSS. Les informations publiées ne permettent pas de savoir si Suno a mis en œuvre ce plan ou si le matériel a été inclus dans les données de formation.
Pour collecter l'audio de YouTube, les développeurs ont utilisé les services proxy Bright Data, affirme Socket. Ils permettent d’acheminer les requêtes via des adresses IP tierces.
‼️ RUPTURE : Un pirate informatique a piraté la société de musique IA Suno à l'aide du ver Shai-Hulud et a publié le code source montrant comment son ensemble de formation a été construit :
– Cyber Digest international (@IntCyberDigest) 16 juillet 2026
– 113 879 heures de YouTube Music
– 62 117 heures de Pond5
– 12 287 heures de Deezer
– plus les paroles de Genius et un plan de téléchargement approximatif… pic.twitter.com/iSbM8EHeeQ
Auparavant, les développeurs de Suno avaient révélé qu'ils entraînaient des modèles sur des dizaines de millions de fichiers audio accessibles au public et les métadonnées associées. L'entreprise a reconnu que celles-ci peuvent inclure des œuvres protégées par des droits intellectuels. La collecte des données se poursuit à partir du printemps 2023.
Comment la fuite est liée aux poursuites judiciaires contre les étiquettes
Le 21 mai, Universal Music Group et Sony Music Entertainment ont demandé à un tribunal fédéral du Massachusetts d'ajouter 61 026 enregistrements à leur poursuite contre Suno. Les labels ont déclaré les avoir découverts dans des données de formation utilisant la technologie d'empreintes audio d'Audible Magic.
Les documents judiciaires citent la position antérieure de Suno : la société a reconnu que des dizaines de millions d'enregistrements dans l'ensemble de données de formation incluraient des œuvres dont les plaignants détenaient les droits. Cependant, Suno considère qu’une telle utilisation est transformatrice et soumise au principe d’utilisation équitable.
Les labels prétendent avoir trouvé des correspondances avec des millions de leurs disques, et les 61 026 entrées ne représentent qu'une partie sélectionnée. Le tribunal n'a pas encore décidé s'il autoriserait une telle extension de la demande.
Suno a cité une affaire parallèle contre Udio. Le 30 juin, le tribunal de New York a refusé d'ajouter plus de 30 000 œuvres car cela aurait modifié considérablement la portée de la procédure à un stade ultérieur.
Un différend distinct concerne non pas la formation elle-même, mais le mode d'obtention des dossiers. En septembre 2025, les labels ont ajouté des exigences en vertu de l'article 1201 du Digital Millennium Copyright Act (DMCA), qui interdit le contournement des contrôles d'accès techniques.
Les plaignants allèguent que Suno a utilisé YT-DL et YT-DLP pour contourner le cryptage évolutif de YouTube et transformer le streaming audio en fichiers téléchargeables. Les représentants du service ont déclaré que les restrictions de la plate-forme contrôlent la copie et non l'accès aux œuvres elles-mêmes.
Le code divulgué peut soutenir certaines parties de la position des labels sur le téléchargement d'audio depuis YouTube et l'utilisation de proxys. Cependant, cela ne prouve pas en soi le contournement d’une mesure technique spécifique ni une violation du DMCA.
En novembre 2025, Warner Music Group a réglé son différend avec Suno et conclu un accord de licence. Dans le cadre de cet accord, la société a acquis le service de recherche de concerts Songkick et a accepté de remplacer les modèles existants par de nouvelles versions sous licence.
Rappelons qu'en mars 2026, Suno a présenté le modèle v5.5 avec les fonctions de création de modèles d'IA personnalisés et de génération de musique avec votre propre voix.
Voir l’article original en russe
