Un hacker pirate Suno et dévoile comment l’IA musicale a pillé YouTube, Deezer et Genius
Un hacker ayant piraté la plateforme de génération musicale Suno a partagé avec 404 Media le détail des sources d’entraînement de l’entreprise. Selon les dires de Mikey Shulman, « la plupart des gens n’aiment pas faire de la musique », ce qu’ils aiment, c’est le résultat. C’est dans cette logique que l’entrepreneur américain a fondé Suno, une plateforme d’IA générative musicale.
Le principe est simple : l’utilisateur donne un prompt texte (par exemple « chanson pop entraînante sur l’été, voix féminine ») et l’outil génère un morceau complet, avec paroles, voix et instrumentation, en quelques secondes. Devenu l’un des outils les plus utilisés dans ce créneau, Suno soulève des interrogations autour du droit d’auteur à l’ère de l’IA, notamment sur la manière dont le modèle a été entraîné via des plateformes de streaming en ligne.
Un élément de réponse a été dévoilé par 404 Media le 15 juillet 2026. Un hacker ayant infiltré les systèmes de Suno a transmis au média américain des documents internes détaillant comment l’entreprise a constitué ses données d’entraînement.
Le pirate, surnommé ellie.191, explique avoir compromis un employé de Suno grâce au ver Shai-Hulud, une attaque par la chaîne d’approvisionnement permettant de dérober des identifiants GitHub et des accès cloud. Parmi les fichiers dérobés, on retrouve du code source daté de 2023 et 2024, détaillant des jeux de données massifs : plus de 113 000 heures de contenus issus de YouTube Music, environ 17 600 heures venant de Genius, plus de 62 000 heures de la bibliothèque Pond5, environ 19 500 heures provenant de l’International Music Score Library Project, et plus de 152 000 heures d’un corpus baptisé « ytm_tagged ». Au total, cela représente l’équivalent de plusieurs dizaines d’années de musique.
Le code montre également que Suno ciblait spécifiquement des versions a cappella de morceaux sur YouTube pour isoler les voix, et utilisait les services de Bright Data pour contourner les protections de la plateforme de streaming vidéo. Le hacker affirme avoir récupéré la liste des clients de Suno, incluant emails, numéros de téléphone et données de paiement Stripe pour certains d’entre eux.
Ces révélations corroborent les accusations portées par la RIAA (l’association de l’industrie du disque américaine) dans ses poursuites contre Suno, qui reprochait à l’entreprise d’avoir extrait des chansons de YouTube en contournant les mes techniques censées empêcher ce type de copie. Suno avait déjà admis les faits, invoquant le fair use, cette exception du droit américain qui autorise l’usage d’une œuvre protégée sans autorisation si le résultat est suffisamment différent de l’original.
Contactée par 404 Media, Suno a insisté sur sa politique de « création originale par conception », expliquant qu’elle exclut les noms d’artistes de ses métadonnées d’entraînement pour éviter que ses modèles ne reproduisent leur style. L’entreprise a également déclaré avoir investi dans des protections contre l’usurpation d’identité artistique.
Pour ce qui est de la véracité de ce piratage, Suno a affirmé avoir identifié en novembre 2025 un incident de sécurité limité, rapidement contenu, concernant du code source obsolète, et a précisé ne pas avoir accès aux numéros complets des cartes bancaires de ses clients via Stripe.
Source : 404 Media
