Un attacco informatico ha svelato i dati di addestramento di un generatore musicale di IA: due milioni di clip da YouTube

Una delle domande più difficili a cui rispondere su qualsiasi sistema di IA è anche una delle più semplici: su quali dati è stato addestrato? Le aziende lo dicono raramente. Nel caso del generatore musicale di IA Suno, una violazione della sicurezza ha risposto al posto loro.

Secondo quanto riportato da 404 Media, un hacker ha ottenuto il codice sorgente di Suno e i file interni elencano le fonti utilizzate dall’azienda per costruire i propri modelli. Tra i nomi compaiono YouTube Music, il servizio di streaming Deezer e il sito di testi musicali Genius, insieme a raccolte di musica stock come Pond5, Jamendo e Freesound, all’archivio di spartiti IMSLP e a podcast acquisiti tramite feed RSS. La portata dell’operazione è registrata negli stessi file. Un set di dati chiamato «youtube_music» conta 2.013.545 clip musicali importate, pari a circa 113.879 ore di audio, a cui si aggiungono altre 152.162 ore in una versione provvista di etichette. Pond5 rappresenta circa 62.117 ore, Genius 17.615 e Deezer 12.287.

La violazione ha esposto anche i dati dei clienti. Lo stesso hacker ha avuto accesso ai record di centinaia di migliaia di utenti Suno, compresi indirizzi email, numeri di telefono e dati di pagamento Stripe; alcuni clienti coinvolti hanno riferito a 404 Media di non essere mai stati informati. Le ricostruzioni fanno risalire l’intrusione iniziale alle credenziali compromesse di un dipendente alla fine del 2025, sottratte da un malware che raccoglie le credenziali di accesso degli sviluppatori.

Cosa c’è dietro: la tempistica è importante perché Suno si sta difendendo in questo momento da Universal Music Group e Sony Music Entertainment in una causa sul diritto d’autore coordinata dalla RIAA. Suno sostiene che addestrare modelli su opere protette rientri nel fair use, una dottrina giuridica degli Stati Uniti che consente determinati usi di materiale protetto senza autorizzazione. Questa tesi non dipende dall’occultamento delle fonti, ma le etichette hanno accusato esplicitamente Suno di aver prelevato brani direttamente da YouTube, e file interni che elencano due milioni di clip provenienti da YouTube sono una prova decisamente più concreta di una deduzione. In parole semplici: una domanda sulla quale gli avvocati normalmente discuterebbero per mesi durante la fase di acquisizione delle prove ha trovato risposta in una fuga di dati.

Vale la pena riconoscere uno schema, non liquidare l’episodio come un caso isolato. Nei settori del testo, delle immagini e ora anche della musica, la domanda «su quali dati è stato addestrato?» continua a ricevere risposte dall’esterno, attraverso cause legali, divulgazioni ordinate dai tribunali e, occasionalmente, violazioni della sicurezza. La pratica del settore di raccogliere prima e risolvere le questioni legali in seguito incontra una resistenza costante.

Cosa significa per te: se usi strumenti di musica generativa per svago, oggi non smette di funzionare nulla, ma tieni presente che il terreno giuridico sotto la musica generativa è davvero instabile e una sentenza contraria a Suno potrebbe cambiare ciò che questi servizi sono autorizzati a fare. Se sei un musicista o un autore, questa è la prova pubblica più chiara finora di come il tuo lavoro possa essere entrato in un set di dati di addestramento. E se avevi un account Suno, consideralo compromesso: cambia la password, cambiala ovunque tu l’abbia riutilizzata e tieni sotto controllo la carta con cui hai pagato. Questo consiglio resta valido a prescindere dall’esito della causa sul diritto d’autore.

Fonti

• 404 Media: un attacco svela che il generatore musicale di IA Suno ha acquisito dati da YouTube, Deezer e Genius
• TechCrunch: secondo un attacco, il generatore musicale di IA Suno avrebbe acquisito da YouTube i dati per l’addestramento
• Music Business Worldwide: Suno ha acquisito dati da YouTube, Deezer e Genius, rivela il codice sottratto