Il generatore musicale AI Suno e’ stato violato, secondo un report di 404 Media. La vicenda intreccia due temi che riguardano da vicino chiunque lavori con dati e modelli: la provenienza dei dati di training e la sicurezza delle credenziali interne. L’attaccante ha dichiarato di aver usato un attacco alla supply chain per ottenere le credenziali di un dipendente, che gli hanno poi permesso di accedere al codice sorgente. Quel codice mostrerebbe come Suno abbia presumibilmente raccolto decenni di audio da YouTube Music, Deezer, Genius, librerie di stock music e feed RSS di podcast.
Fair use o violazione?
Suno aveva gia’ ammesso di addestrare la propria AI su “file musicali pubblicamente disponibili” sul web aperto, sostenendo di poterlo fare su materiale protetto in base alla dottrina del fair use, un’eccezione soggettiva del diritto d’autore. Ma secondo le major discografiche che hanno gia’ avviato cause contro l’azienda, e’ illegale sotto il Digital Millennium Copyright Act (DMCA) aggirare deliberatamente le protezioni di YouTube contro lo scraping dei dati; una pratica che viola anche i termini di servizio di YouTube. Non e’ un caso isolato: Udio, concorrente di Suno, e’ stata accusata dello stesso comportamento, e Google, societa’ madre di YouTube, affronta a sua volta accuse di violazione del copyright da parte di diversi grandi editori di libri.
Anche i dati dei clienti esposti
La violazione non riguarda solo il codice e i dataset. L’attaccante avrebbe avuto accesso a dati dei clienti tra cui email, numeri di telefono e numeri di carta di credito parziali su Stripe. Suno non ha notificato ai clienti la violazione, avvenuta a novembre 2025, e la descrive come un “incidente di sicurezza limitato e rapidamente contenuto”. Per chi costruisce prodotti AI, il caso ricorda che i dettagli su come e da dove si raccolgono i dati non restano nascosti per sempre, e che le credenziali di un singolo dipendente possono aprire l’intera catena.
- La difesa del fair use per l’addestramento resta contestata: aggirare le protezioni tecniche di una piattaforma solleva profili DMCA distinti.
- Un attacco alla supply chain su una singola credenziale ha esposto codice sorgente, pratiche di scraping e dati dei clienti.
- La mancata notifica di una violazione ai clienti aggiunge un profilo di compliance sulla gestione degli incidenti.
Fonte: Hack suggests Suno scraped YouTube for training data — https://techcrunch.com/2026/07/15/hack-suggests-ai-music-generator-suno-scraped-youtube-for-training-data/
Hai qualcosa da aggiungere? Unisciti alla discussione.