Em resumo
- Um hacker usando o worm Shai-Hulud violou Suno em 2025 e vazou o código-fonte mostrando a plataforma extraída de mais de 113.000 horas do YouTube Music, 62.000 da biblioteca de estoque Pond5 e 12.000 do Deezer, entre outras fontes.
- A mesma intrusão atingiu e-mails de clientes, números de telefone e dados de pagamento do Stripe para o que o hacker descreve como centenas de milhares de usuários.
- A própria divulgação de conformidade da Suno na Califórnia já havia reconhecido que seus dados de treinamento podem incluir música “sujeita à proteção de propriedade intelectual”
Um hacker invadiu a plataforma musical de IA Suno e saiu com um código-fonte que documenta, em detalhes precisos, exatamente de onde vieram os dados de treinamento da empresa.
A violação foi relatada pela primeira vez pela 404 Media, que analisou os arquivos vazados. Isso confirma o que a indústria musical vinha dizendo nos tribunais desde 2024.
O invasor afirma ter usado um malware chamado worm Shai-Hulud – em homenagem aos enormes vermes da areia em Duna, de Frank Herbert. Suno, um dos maiores geradores de música de IA online, permite que os usuários digitem uma descrição de texto e recebam uma música completa em segundos; construir essa capacidade exigiu um conjunto de dados de treinamento substancial – uma coleção de arquivos de áudio usados para ensinar ao modelo como soam diferentes gêneros e estilos.
O material vazado consiste em instruções de raspagem e registros internos de 2023 e 2024, oferecendo uma rara visão de como esses dutos são realmente montados.
A divisão do conjunto de dados é específica. De acordo com comentários internos do arquivo revisados por 404 Mídiaa biblioteca de treinamento incluiu 113.879 horas de YouTube Music, 152.162 horas de faixas marcadas do YouTube, 62.117 horas da biblioteca de música Pond5, 12.287 horas do Deezer e 17.615 horas em um conjunto de dados denominado genial_hq, associado ao material coletado pelo Genius. O código também documentou planos para baixar cerca de 1 milhão de horas de áudio de podcast por meio de feeds RSS.
Somente um arquivo interno que rastreia a ingestão do YouTube Music registrou 2.013.545 clipes de música. São milhões de gravações cobrindo décadas de áudio – e o apetite não se limitava à música.
O hacker alegou ter acessado registros associados a centenas de milhares de clientes, incluindo e-mails, números de telefone e informações relacionadas ao Stripe. Suno contesta que informações pessoais confidenciais tenham sido comprometidas.
A empresa afirma que identificou o incidente em novembro de 2025 e o chamou de “limitado”. Suno determinou que a exposição envolvia principalmente código-fonte desatualizado que não está mais em uso e concluiu que notificações individuais de clientes não eram exigidas pelas leis de privacidade aplicáveis. Os usuários só estão descobrindo isso agora, por meio da cobertura jornalística.
O problema é o seguinte: Suno já havia dito a qualquer pessoa disposta a ler seu próprio site que algo assim estava acontecendo. De acordo com a lei AB 2013 da Califórnia – que exige que as empresas de IA divulguem suas práticas de treinamento – a empresa reconheceu publicamente que seus dados de treinamento podem incluir músicas “sujeitas à proteção de propriedade intelectual” e listou o corpus em dezenas de milhões de arquivos de áudio musicais disponíveis publicamente. O que o hack acrescenta é especificidade: o processo legal era vago por natureza, e o código vazado não.
O escopo do treinamento musical em IA já estava ficando claro antes que alguém violasse alguma coisa. Em junho de 2026, O Atlântico publicou quatro bancos de dados pesquisáveis que documentam músicas usadas para treinar modelos de IA – um contendo 12 milhões de faixas, outro com 9 milhões e mais dois com cerca de 100.000 cada. Você poderia procurar seu artista favorito antes que um hacker entregasse o código-fonte a alguém.
A Recording Industry Association of America alegou em uma emenda de 2025 ao seu processo original de 2024 contra Suno que a empresa estava copiando músicas diretamente do YouTube – uma acusação que Suno contestou sob uma defesa de uso justo. A ação buscava US$ 150 mil por incidente de infração. O código-fonte hackeado corrobora a alegação central da RIAA.
Udio, que foi alvo de um processo paralelo movido pela mesma coalizão de grandes gravadoras, fez um acordo com a Warner Music em novembro de 2025 e agora está em transição para uma plataforma licenciada. O caso de Suno com Sony e UMG continua ativo no tribunal federal; a avaliação da empresa é de US$ 5,4 bilhões, com cerca de 100 milhões de usuários na plataforma.
Suno não respondeu imediatamente a um pedido de comentário de Descriptografar.
Resumo Diário Boletim informativo
Comece cada dia com as principais notícias do momento, além de recursos originais, podcast, vídeos e muito mais.
