Un hackeo revela con qué se entrenó un generador musical de IA: dos millones de clips de YouTube

Una de las preguntas más difíciles de responder sobre cualquier sistema de IA es muy sencilla: ¿con qué se entrenó? Las empresas rara vez lo dicen. En el caso del generador musical de IA Suno, una brecha de seguridad respondió por ellas.

Según la información publicada por 404 Media, un hacker obtuvo el código fuente de Suno, y los archivos internos enumeran las fuentes de las que se sirvió la empresa para crear sus modelos. Entre los nombres aparecen YouTube Music, el servicio de streaming Deezer y la web de letras Genius, además de bibliotecas de música de archivo como Pond5, Jamendo y Freesound, el archivo de partituras IMSLP y pódcast obtenidos mediante fuentes RSS. La magnitud queda registrada en los propios archivos. Un conjunto de datos denominado «youtube_music» contabiliza 2.013.545 clips musicales incorporados, equivalentes a unas 113.879 horas de audio, más otras 152.162 horas en una versión etiquetada. Pond5 representa unas 62.117 horas; Genius, 17.615; y Deezer, 12.287.

La brecha también expuso datos de clientes. El mismo hacker accedió a registros de cientos de miles de usuarios de Suno, incluidas direcciones de correo electrónico, números de teléfono y datos de pago de Stripe, y algunos clientes afectados dijeron a 404 Media que nunca habían recibido aviso alguno. Las informaciones sitúan el origen de la intrusión en una credencial de empleado comprometida a finales de 2025, sustraída por un programa malicioso que recopila credenciales de acceso de desarrolladores.

Qué hay detrás: el momento es importante, porque Suno se está defendiendo actualmente de Universal Music Group y Sony Music Entertainment en un litigio por derechos de autor coordinado por la RIAA. Suno sostiene que entrenar con obras protegidas por derechos de autor constituye un uso legítimo, una doctrina jurídica que permite determinados usos de material protegido sin permiso. Ese argumento no depende de ocultar las fuentes, pero las discográficas han alegado expresamente que Suno obtuvo canciones directamente de YouTube, y unos archivos internos que enumeran dos millones de clips de YouTube constituyen algo mucho más concreto que una deducción. Dicho sin rodeos: una filtración respondió a una pregunta por la que los abogados normalmente pasarían meses disputando durante la fase de exhibición de pruebas.

Conviene ver esto como una pauta, no como un caso aislado. En el texto, las imágenes y ahora también la música, la pregunta «¿con qué se entrenó esto?» sigue encontrando respuesta desde fuera, mediante demandas, revelaciones ordenadas por los tribunales y, en ocasiones, brechas de seguridad. La práctica del sector de recopilar primero y resolver después las cuestiones jurídicas se topa con una resistencia constante.

Qué significa esto para ti: si utilizas herramientas de música con IA de manera ocasional, hoy no deja de funcionar nada, pero ten presente que el terreno jurídico bajo la música generativa es verdaderamente incierto y que una sentencia contra Suno podría cambiar lo que estos servicios tienen permitido hacer. Si eres músico o creador, esta es la prueba pública más clara hasta ahora de cómo tu obra puede haber llegado a un conjunto de entrenamiento. Y si tenías una cuenta de Suno, considérala comprometida: cambia la contraseña, cámbiala en todos los sitios donde la hayas reutilizado y vigila la tarjeta con la que pagaste. Ese consejo sigue siendo válido con independencia de cómo termine el litigio por derechos de autor.

Fuentes

• 404 Media: un hackeo revela que el generador musical de IA Suno extrajo datos de YouTube, Deezer y Genius
• TechCrunch: un hackeo apunta a que el generador musical de IA Suno extrajo datos de YouTube para entrenarse
• Music Business Worldwide: Suno extrajo datos de YouTube, Deezer y Genius, según revela el código hackeado