Un attacco informatico a Suno, uno dei generatori di musica con intelligenza artificiale più diffusi, ha portato alla luce il codice interno dell’azienda. Secondo la testata 404 Media, che ha esaminato il materiale, quel codice mostra in dettaglio come Suno abbia raccolto milioni di brani, tracce e podcast dal web per addestrare il suo strumento. L’azienda, dal canto suo, ridimensiona l’episodio e assicura che non sono stati compromessi dati personali sensibili.
Cosa mostra il codice rubato
Il codice, che risalirebbe al 2023 e 2024, conterrebbe istruzioni precise su come “raschiare” (in inglese scraping, cioè raccogliere in automatico) grandi quantità di audio da varie piattaforme. È una parte del dibattito più acceso sull’AI generativa: questi strumenti imparano da enormi archivi di opere esistenti, spesso senza il consenso di chi le ha create. Per musicisti e autori, anche italiani, è il cuore della disputa sul diritto d’autore.
Da dove arrivava la musica
Secondo i file, la raccolta è stata imponente. Tra le fonti citate ci sarebbero oltre due milioni di clip da YouTube Music, per quasi 114.000 ore di audio, più migliaia di ore da Deezer, dal sito di testi Genius e da librerie di musica come Pond5, Jamendo e l’archivio di spartiti IMSLP. A questo si aggiungerebbe circa un milione di ore estratte da qualcosa come 420.000 podcast. Numeri che, se confermati, danno l’idea di quanto materiale serva per costruire un sistema capace di generare canzoni su richiesta.
Come è avvenuto l’attacco
L’attacco non ha colpito direttamente i server principali. Chi l’ha condotto avrebbe compromesso il computer di un singolo dipendente usando un worm chiamato Shai-Hulud, un tipo di attacco alla “catena di fornitura” del software che permette di rubare le credenziali di accesso a servizi come GitHub e le piattaforme cloud. Da lì l’attaccante sostiene di aver raggiunto sia il codice sia le informazioni di centinaia di migliaia di utenti, inclusi dati di pagamento gestiti tramite Stripe.
La versione di Suno
Suno offre una lettura diversa. L’azienda dice di aver individuato già a novembre 2025 un incidente di sicurezza “limitato” e rapidamente contenuto, che riguardava soprattutto codice vecchio e non più in uso. Sostiene inoltre che non siano state compromesse informazioni personali sensibili. Le due versioni non coincidono, ed è un punto da tenere presente: da un lato le rivendicazioni di chi ha condotto l’attacco, dall’altro la ricostruzione dell’azienda. Se vuoi capire come funzionano questi strumenti, abbiamo una guida a Suno e Udio. Il resoconto originale è su 404 Media.
Al di là dei numeri, la vicenda alimenta le cause già in corso contro le aziende di musica generativa e rafforza la richiesta, anche dell’industria discografica europea, di regole chiare su cosa si può usare per addestrare questi modelli.
Foto di apertura: Filip Szyller / Pexels (licenza libera)
