Un piratage révèle les données d’entraînement d’un générateur de musique par IA : deux millions d’extraits YouTube

L’une des questions les plus difficiles à élucider au sujet de n’importe quel système d’IA est pourtant simple : avec quelles données a-t-il été entraîné ? Les entreprises le disent rarement. Dans le cas du générateur de musique par IA Suno, une faille de sécurité a répondu à leur place.

Selon les informations de 404 Media, un pirate a obtenu le code source de Suno, et les fichiers internes énumèrent les sources auxquelles l’entreprise a puisé pour concevoir ses modèles. On y trouve YouTube Music, le service de streaming Deezer et le site de paroles Genius, ainsi que des banques de musique telles que Pond5, Jamendo et Freesound, les archives de partitions IMSLP et des podcasts récupérés par le biais de flux RSS. L’ampleur de la collecte est consignée dans les fichiers eux-mêmes. Un jeu de données intitulé « youtube_music » recense l’ingestion de 2 013 545 extraits musicaux, soit environ 113 879 heures d’audio, auxquels s’ajoutent 152 162 heures dans une version étiquetée. Pond5 représente environ 62 117 heures, Genius 17 615 et Deezer 12 287.

La faille a également exposé des données clients. Le même pirate a accédé aux dossiers de centaines de milliers d’utilisateurs de Suno, notamment à leurs adresses e-mail, numéros de téléphone et informations de paiement Stripe. Certains clients concernés ont indiqué à 404 Media n’avoir jamais été avertis. D’après l’enquête, l’intrusion initiale remonte à l’identifiant compromis d’un employé fin 2025, dérobé par un logiciel malveillant conçu pour récupérer les accès des développeurs.

Ce qui se joue : le moment est important, car Suno se défend actuellement face à Universal Music Group et Sony Music Entertainment dans une affaire de droit d’auteur coordonnée par la RIAA aux États-Unis. Suno soutient que l’entraînement sur des œuvres protégées relève du « fair use », une doctrine juridique américaine qui autorise certaines utilisations de contenus protégés sans permission. Cet argument ne dépend pas de la dissimulation des sources. Mais les maisons de disques ont précisément affirmé que Suno avait récupéré des morceaux directement sur YouTube, et des fichiers internes recensant deux millions d’extraits YouTube constituent un élément nettement plus concret qu’une déduction. En clair : une question sur laquelle les avocats auraient normalement passé des mois à se battre pendant la procédure de communication des pièces a été résolue par une fuite.

Il faut y voir une tendance, pas un incident isolé. Dans le texte, l’image et désormais la musique, la question « avec quelles données ce modèle a-t-il été entraîné ? » trouve sans cesse sa réponse de l’extérieur, à travers des procès, des divulgations ordonnées par les tribunaux et, parfois, des failles de sécurité. La pratique du secteur, qui consiste à collecter d’abord et à régler les questions juridiques ensuite, se heurte à une résistance constante.

Ce que cela signifie pour vous : si vous utilisez occasionnellement des outils de création musicale par IA, rien ne cesse de fonctionner aujourd’hui. Sachez néanmoins que le terrain juridique de la musique générative est réellement incertain et qu’une décision défavorable à Suno pourrait modifier ce que ces services ont le droit de faire. Si vous êtes musicien ou créateur, il s’agit à ce jour de l’indication publique la plus claire sur le chemin que votre travail a pu suivre pour intégrer un jeu de données d’entraînement. Et si vous aviez un compte Suno, considérez qu’il a été compromis : changez votre mot de passe, modifiez-le partout où vous l’aviez réutilisé et surveillez la carte utilisée pour le paiement. Ce conseil reste valable quelle que soit l’issue de l’affaire de droit d’auteur.

Sources

• 404 Media : un piratage révèle que le générateur de musique par IA Suno a collecté des données sur YouTube, Deezer et Genius
• TechCrunch : un piratage laisse penser que le générateur de musique par IA Suno a collecté des données sur YouTube pour son entraînement
• Music Business Worldwide : Suno a collecté des données sur YouTube, Deezer et Genius, selon du code piraté