Hack expõe suposto scraping de YouTube pela IA musical Suno
Quem trabalha com pipeline de dados sabe: quando alguém invade um fornecedor e chega ao código-fonte, o estrago pode ser bem maior que um simples leak de senha. Foi isso que aconteceu com a Suno, gerador de música por IA. Segundo reportagem do 404 Media, um hacker usou um ataque à cadeia de suprimentos para roubar credenciais de um funcionário e, a partir daí, acessar trechos de código que mostrariam como a empresa monta seu dataset de treino.
E o dataset, pelo que se vê, não é pouco: décadas de áudio puxadas de YouTube Music, Deezer, Genius, bibliotecas de música de banco de imagens e feeds RSS de podcast. Ou seja, uma raspagem em escala industrial, do tipo que qualquer engenheiro de dados reconhece como um scraper rodando em loop, sem muita cerimônia com termos de uso.
O argumento do fair use contra o DMCA
A Suno nunca escondeu que treina modelos com arquivos de música disponíveis publicamente na internet, apostando na tese de fair use para justificar o uso de material protegido por direitos autorais. O problema é que as gravadoras que processam a empresa argumentam outra coisa: contornar de forma deliberada as proteções anti-scraping do YouTube viola o DMCA, além de infringir diretamente os termos de serviço da plataforma.
- Udio, concorrente direta da Suno, já foi acusada de fazer o mesmo tipo de coleta.
- O próprio Google, dono do YouTube, enfrenta processos parecidos movidos por editoras de livros.
Dá pra ver um padrão: treinar modelo generativo em cima de conteúdo de terceiros sem contrato formal virou terreno minado, e cada empresa está testando até onde a interpretação de fair use aguenta na justiça.
E teve exposição de dados de cliente também
Fora o código, o invasor também teria acessado dados de clientes: e-mails, telefones e números parciais de cartão de crédito armazenados via Stripe. A parte mais chata: o incidente é de novembro de 2025 e a Suno não notificou os usuários na época. A resposta oficial da empresa foi chamar o caso de incidente de segurança limitado, contido rapidamente — a clássica nota de imprensa que qualquer time de segurança já viu antes.
Pra quem cuida de infra e segurança, o caso é um lembrete direto: revisar credenciais de fornecedores terceiros, rotacionar segredos com regularidade e ter processo de disclosure definido não é burocracia, é a diferença entre um incidente contido e uma bola de neve jurídica.