Suno rastreó YouTube y Deezer para entrenar su IA, según archivos filtrados

El código fuente de Suno, la empresa de música con inteligencia artificial, incluye a YouTube Music, Deezer y Genius entre las plataformas de las que extrajo material para entrenar sus modelos, según revelan archivos filtrados tras un ciberataque a la compañía y publicados por el medio estadounidense 404 Media el pasado 15 de julio. Los datos filtrados corroboran la acusación de las discográficas de que Suno copió canciones directamente desde YouTube.

El código fue obtenido por un hacker que se identifica como ellie.191 y que aseguró haber accedido a los sistemas de Suno infectando a un empleado con Shai-Hulud, un gusano de cadena de suministro que roba credenciales de GitHub y de servicios en la nube. Según 404 Media, el atacante también accedió a información de cientos de miles de clientes de Suno —correos electrónicos, números de teléfono y datos de pago de Stripe—, aunque afirmó no tener una motivación concreta: «Me gusta hackear cualquier cosa».

Volúmenes rastreados

Un fichero llamado youtube_music anotó la ingesta de 2.013.545 clips musicales. En total, décadas de audio. Otros fragmentos mostraban a Suno buscando versiones a capella en YouTube para aislar voces, usando proxies de la empresa Bright Data, y recopilando unos 420.000 podcasts a través del servicio PodcastIndex.

Suno ya había reconocido en un escrito judicial que sus datos de entrenamiento procedían de música «a lo largo de internet abierto». La compañía se defiende de la demanda por infracción de derechos de autor interpuesta por Universal Music Group y Sony Music Entertainment, coordinada por la RIAA, y sostiene que entrenar con obras protegidas está amparado por el fair use (uso legítimo). En su escrito, Suno afirmó que su material «incluye esencialmente todos los archivos de música de calidad razonable accesibles en internet abierto, respetando muros de pago, contraseñas y similares». Sin embargo, tanto Deezer como Pond5, citados en el código, requieren pago para acceder a sus contenidos.

El rastreo de YouTube ya forma parte del litigio. En una demanda ampliada presentada en septiembre de 2025, la RIAA acusó a Suno de stream ripping —extraer copias de grabaciones desde YouTube— y de sortear el cifrado rolling cipher diseñado para impedir descargas no autorizadas. Las discográficas reclaman indemnizaciones legales de hasta 150.000 dólares por obra infringida, más 2.500 dólares por cada acto de elusión. En mayo pidieron al tribunal ampliar el caso de 560 a 61.026 obras identificadas mediante huella acústica, un salto que elevaría el tope teórico de indemnización desde unos 84 millones hasta más de 9.000 millones de dólares. El juez aún no se ha pronunciado.

Un portavoz de Suno declaró a 404 Media que la compañía detectó en noviembre de 2025 «un incidente de seguridad limitado que fue rápidamente contenido», que afectó «principalmente a código fuente obsoleto que ya no se utiliza» y que no comprometió información personal sensible ni los números completos de tarjeta en Stripe. La empresa concluyó que las notificaciones individuales de la brecha «no eran necesarias» según la legislación de privacidad aplicable, si bien algunos afectados aseguraron no haber sido avisados.

El caso llega en un momento delicado para Suno, que captó más de 400 millones de dólares y alcanzó una valoración de 5.400 millones. La firma ya había protagonizado polémicas por el uso de datos ajenos, como en su control de los datos de usuarios de Songkick. Otra de las plataformas señaladas, Jamendo, demandó a Suno el 29 de junio y reclama al menos 17,8 millones de euros. Warner Music, antigua codemandante, abandonó el litigio tras pactar con Suno en noviembre de 2025.

Deezer, mencionada en el código, se ha posicionado como referente en la identificación de música sintética: asegura detectar temas de modelos como Suno con un 99,8% de precisión y haber etiquetado más de 13,4 millones de pistas de IA durante 2025. La filtración refuerza el pulso legal en un sector donde la música generada por IA ya se ha disparado en las plataformas, y donde la procedencia de los datos de entrenamiento se ha convertido en el gran campo de batalla.