Nelle scorse ore un hacker ha diffuso il codice sorgente sottratto a Suno, una delle piattaforme di generazione musicale via intelligenza artificiale pi� diffuse in rete, e quel materiale mostra nel dettaglio da dove l'azienda ha attinto per addestrare i suoi modelli. La ricostruzione � di 404 Media, che ha ricevuto i dati direttamente da chi ha condotto l'attacco. Fino a oggi Suno aveva evitato di rivelare la composizione dei suoi archivi di addestramento, e il codice trapelato � di fatto il primo indizio concreto sul materiale usato per l'addestramento dei modelli audio. Scoop: The AI music generator Suno was hacked. Hacker shared source code that shows how the tool was made and part of the music and podcasts that were scraped to create it. Decades worth of music, lyrics, and podcasts from YouTube, Deezer, Genius & more www.404media.co/hack-reveals...[image or embed]— Jason Koebler (@jasonkoebler.bsky.social) 15 luglio 2026, 16:02 Le fonti dello scraping, elencate nei commenti del codice, sono YouTube Music, Deezer e Genius, insieme alle librerie di musica stock Pond5, Jamendo, Freesound e all'archivio di spartiti IMSLP. Non manca il parlato: attraverso i feed RSS Suno avrebbe rastrellato anche i podcast. Il sorgente, riconducibile al 2023 e al 2024, contiene le istruzioni per prelevare gli audio e qualche numero sulla portata dell'operazione. Un file dedicato a YouTube Music registra 2.013.545 clip gi� acquisite all'ultimo aggiornamento. Un altro elenca le ore raccolte per ciascun archivio: 113.879 ore da YouTube Music, oltre 152.000 ore in una raccolta parallela di brani etichettati, 62.117 da Pond5, 17.615 da Genius, 19.514 dall'IMSLP, 12.287 da Deezer, cifre pi� contenute per Jamendo, Freesound e i testi di MuseScore. Nell'insieme si parla di decenni di musica registrata. Le voci a cappella e i proxy per aggirare YouTube Una parte del codice cercava in modo mirato le versioni a cappella dei brani su YouTube, con ogni probabilit� per isolare le voci pulite da dare in pasto al modello. Per aggirare le difese anti-scraping della piattaforma, Suno si sarebbe appoggiata a Bright Data, azienda che vende infrastrutture e servizi di raccolta dati tramite proxy. C'� anche il capitolo podcast: sfruttando lo strumento PodcastIndex, il codice individuava 420.000 podcast con almeno cinque episodi da mezz'ora, puntando a scaricarne circa un milione di ore. ISuno � finita nel mirino di diverse azioni legali dell'industria discografica, e in tribunale ha gi� ammesso di essersi addestrata su "sostanzialmente tutti i file musicali di qualit� ragionevole accessibili nella rete aperta", per un totale di "decine di milioni di registrazioni", difendendo la pratica come fair use. La RIAA sostiene per� che l'azienda abbia aggirato deliberatamente le protezioni di YouTube con lo "stream ripping", condotta che i suoi legali qualificano come violazione del DMCA oltre che dei termini di servizio della piattaforma. Finora l'accusa poggiava sulle ammissioni di Suno; il codice mostra il meccanismo dietro quelle ammissioni. La violazione e i clienti mai avvisati Chi ha condotto l'attacco, che si firma "ellie.191", dice di essere entrato colpendo un dipendente con il worm Shai-Hulud, un attacco alla catena di fornitura che consente di raccogliere le credenziali di GitHub e dei servizi cloud. Da l� avrebbe raggiunto anche l'elenco dei clienti: centinaia di migliaia di indirizzi email e numeri di telefono, insieme ai dati di pagamento su Stripe. Alcuni utenti contattati da 404 Media hanno confermato l'iscrizione al servizio e di non aver mai ricevuto alcun avviso sulla violazione. Alla domanda sulle sue motivazioni, l'autore ha risposto di non averne una precisa: "Mi piace hackerare qualsiasi cosa". Suno ha confermato l'episodio, ridimensionandolo. Parla di un "incidente di sicurezza limitato e rapidamente circoscritto" del novembre 2025, che avrebbe riguardato soprattutto "codice sorgente obsoleto non pi� in uso", senza compromissione di dati personali sensibili; precisa di non avere accesso ai numeri completi delle carte di credito su Stripe e di aver ritenuto, vista la natura limitata dei dati coinvolti, che le notifiche individuali agli utenti non fossero dovute in base alle normative sulla privacy applicabili. Sul fronte giudiziario le posizioni restano divise: alcune etichette hanno gi� trovato un accordo di licenza con la piattaforma, mentre altre stanno ancora proseguendo sulla strada del contenzioso legale.