Un hacker pirate Suno et dévoile comment l’IA musicale a pillé YouTube, Deezer et Genius
Un hacker ayant piraté la plateforme de génération musicale Suno a partagé avec 404 Media le détail des sources d'entraînement de l'entreprise..
Suno est une plateforme d'intelligence artificielle (IA) spécialisée dans la génération de musique. Son fonctionnement repose sur un principe simple : l'utilisateur saisit une description textuelle, appelée prompt (par exemple « une chanson pop entraînante sur l'été avec une voix féminine »), et l'outil produit en quelques secondes un morceau complet incluant paroles, voix et instrumentation. Cette technologie s'inscrit dans le domaine de l'IA générative, qui crée du contenu original à partir de données existantes. Fondée par Mikey Shulman, Suno mise sur l'idée que les utilisateurs préfèrent obtenir un résultat musical sans avoir à composer eux-mêmes. Cependant, cette approche soulève des questions éthiques et juridiques, notamment sur l'utilisation de contenus protégés par le droit d'auteur pour entraîner les modèles d'IA.
Un pirate informatique, surnommé ellie.191, a infiltré les systèmes de Suno et a partagé avec le média 404 Media des documents internes détaillant la manière dont l'entreprise a constitué ses bases de données d'entraînement. Le hacker a utilisé une supply chain attack (une attaque visant la chaîne d'approvisionnement logicielle) appelée ver Shai-Hulud pour voler des identifiants GitHub et des accès cloud d'un employé de Suno. Parmi les fichiers dérobés figurent des lignes de code datées de 2023 et 2024, ainsi que des commentaires décrivant des jeux de données massifs. Ces données incluent plus de 113 000 heures de musique issues de YouTube Music, 17 600 heures de Genius, 62 000 heures de la bibliothèque Pond5, 19 500 heures de l'International Music Score Library Project et 152 000 heures d'un corpus nommé « ytm_tagged ».
Les documents internes révèlent que Suno a utilisé des méthodes discutables pour collecter des données musicales. Le pirate explique que l'entreprise ciblait spécifiquement des versions a cappella (sans accompagnement musical) de morceaux sur YouTube afin d'isoler les voix. Pour contourner les protections de YouTube, Suno aurait fait appel à Bright Data, une société spécialisée dans le scraping (technique d'extraction automatisée de données) à grande échelle. Cette pratique consiste à récupérer des informations depuis des sites web ou des plateformes en ligne, souvent en contournant les mesures techniques de protection. Ces révélations confirment les accusations portées par la RIAA, l'association de l'industrie du disque américaine, qui reproche à Suno d'avoir extrait directement des chansons de YouTube.
La RIAA a porté plainte contre Suno, accusant l'entreprise d'avoir violé le droit d'auteur en utilisant des contenus protégés pour entraîner ses modèles d'IA. Selon les documents partagés par le hacker, Suno aurait extrait des chansons de YouTube en contournant les mesures techniques de protection, ce que la RIAA qualifie de piratage. L'association représente les intérêts des majors du disque aux États-Unis et milite pour une meilleure protection des œuvres musicales. Suno a déjà reconnu les faits dans le cadre de ses procès, mais invoque le fair use (usage équitable), une exception du droit américain qui permet d'utiliser une œuvre protégée sans autorisation si le résultat est jugé suffisamment transformé ou original. Un procès a déjà été réglé à l'amiable.
Face aux révélations, Suno défend sa politique de *« création originale par conception »*. L'entreprise affirme exclure volontairement les noms d'artistes de ses métadonnées d'entraînement pour éviter que ses modèles ne reproduisent leur style. Suno indique également avoir investi dans des protections contre l'usurpation d'identité artistique, un phénomène où une IA génère des œuvres imitant le style d'un artiste sans son consentement. Concernant l'incident de sécurité révélé par le hacker, Suno déclare avoir identifié en novembre 2025 un problème limité, rapidement résolu. L'entreprise précise que ce piratage concernait du code source obsolète et n'aurait pas compromis de données personnelles sensibles. Elle ajoute ne pas avoir accès aux numéros complets des cartes bancaires de ses clients via Stripe, un service de paiement en ligne.
