El código filtrado de Suno, el generador de música con IA, apunta a datos de entrenamiento sacados de YouTube Music, Deezer, Genius, librerías de música de stock y podcasts. Lo publica 404 Media, que dice haber accedido al material robado a la empresa en un hackeo. Un archivo referido a YouTube Music habla de 2.013.545 clips musicales ingeridos.
El matiz va por delante: esto es un reporte periodístico sobre código robado, fechado en 2023-2024. No es un comunicado de Suno ni una sentencia.
Puntos clave
- Según el código al que ha accedido 404 Media, un archivo cita 2.013.545 clips musicales de YouTube Music.
- Los comentarios del código listan volúmenes por fuente: 152.162 horas de ytm_tagged, 113.879 de youtube_music, 62.117 de pond5_music, 19.514 de imslp, 17.615 de genius_hq, 12.287 de deezer, 3.726 de jamendo, 410 de freesound y 103 de musescore_lyrics.
- El acceso vino de un ataque a la cadena de suministro en noviembre de 2025 con credenciales de un empleado. El intruso dice haber usado el gusano Shai-Hulud.
- El hacker también alcanzó datos de cientos de miles de clientes e información de pago guardada en Stripe.
Qué hay dentro del material filtrado
Uno de los archivos citados por 404 Media enumera las cestas de datos con nombres bastante explícitos: genius_hq, youtube_music, freesound, jamendo, imp, deezer, ytm_tagged. Sumadas, esas horas dan décadas de audio.
Aparecen también el International Music Score Library Project (IMSLP, una biblioteca de partituras), MuseScore para letras y podcasts recogidos por RSS. Pond5 y Jamendo son catálogos de música de stock, que se licencian.
Que una cesta de datos se llame "deezer" no prueba por sí solo cómo se obtuvo ese audio ni bajo qué licencia. Pero encaja con lo que la RIAA (la patronal discográfica de EE.UU.) lleva acusando desde 2024: que Suno sacaba canciones directamente de YouTube.
Cómo entró el hacker y qué responde Suno
Suno lo describe como un "limited security incident that was quickly contained", un incidente de seguridad limitado y contenido rápido. La empresa sostiene que lo expuesto es sobre todo código antiguo que ya no usa, y que no se comprometió información sensible de usuarios.
Según TechCrunch, Suno no avisó a sus clientes de la brecha, pese a que el atacante llegó a emails, teléfonos y números parciales de tarjeta almacenados en Stripe. Las dos cosas pueden ser ciertas a la vez: código viejo y datos de clientes tocados.
La cronología legal que ya venía de antes
Junio de 2024: la RIAA anuncia demandas por infracción de copyright contra Suno y Udio en nombre de las grandes discográficas. Suno se defiende alegando fair use, el uso legítimo que contempla la ley estadounidense.
Noviembre de 2025: Warner Music pacta con Suno, con pago no revelado, acuerdo de licencia y la venta de Songkick a Suno. Universal y Sony siguen litigando, con una vista de summary judgment prevista para julio de 2026, o sea ahora mismo.
Suno ya había admitido antes entrenarse con "esencialmente todos los archivos de música de calidad razonable accesibles en el internet abierto", decenas de millones de grabaciones. Lo que aporta el reporte de 404 Media es el detalle: nombres de fuentes y horas contadas, justo cuando un juez tiene que decidir si eso entra en fair use. Mientras tanto la música generada se está metiendo en las plataformas grandes, como el asistente de música que acaba de estrenar Spotify.
Por qué importa
Si metes un generador de música, imagen o vídeo en tu empresa, el output que publicas hereda el riesgo del dataset con el que se entrenó ese modelo. La pregunta aburrida hay que hacerla antes de firmar: de dónde salen los datos, qué indemnización te da el proveedor si un tercero reclama, y qué pasa con tu campaña si el modelo se para por una cautelar. En Barner y Digital Brain generamos imágenes con IA a diario, y lo que miramos antes de meter algo en producción es justo eso, si el proveedor pone por escrito que responde. Un caso así no dice que Suno haya perdido nada en un juzgado. Dice que ese riesgo se está midiendo en un tribunal de Massachusetts este mes, y que conviene tenerlo por escrito antes de descubrirlo después. El reparto de responsabilidad sobre el output ya se está peleando en otros frentes, como la demanda de xAI a un usuario de Grok.
Relacionado
