Plus de deux millions d’extraits audio rien que pour YouTube Music, et des centaines de milliers d’heures de musique au total : un piratage de Suno a révélé la véritable moisson effectuée pour entraîner son IA. Les données, transmises à 404media, détaillent d’où proviennent les données d’entraînement utilisées par la start-up de génération musicale par IA. Le moins que l’on puisse dire, c’est qu’ils n’ont pas fait les choses à moitié.

Que Suno se soit entraîné sur des œuvres protégées n’a rien d’un scoop. L’entreprise spécialisée dans l’IA l’avait déjà admis en 2024, dans le cadre des poursuites lancées aux États-Unis par l’industrie du disque. Elle avait reconnu avoir utilisé “pratiquement tous les fichiers musicaux de qualité raisonnable accessibles sur l’internet ouvert”, soit “des dizaines de millions d’enregistrements” (propos rapportés par 404media). Ce que l’on ignorait, c’était l’ampleur précise de la collecte et sa mécanique, mais un piratage vient de tout changer.

Plus de deux millions d’extraits : un siphonnage industriel

Selon 404media, qui a examiné les données transmises par le pirate, le butin comprend du code source daté de 2023 et 2024, avec des instructions de scraping et le détail d’une partie des volumes collectés. Un commentaire présent dans un fichier liste les sources visées et précise que les contenus non musicaux seront filtrés. Par exemple, un fichier baptisé indique avoir ingéré 2 013 545 extraits musicaux au moment de sa dernière mise à jour.

Un autre fichier contient des statistiques avec le nombre d’heures accumulées par jeu de données :

• 152 162 heures pour
• 113 879 heures pour
• 62 117 heures pour
• 19 514 heures pour (partitions du domaine public de l’International Music Score Library Project)
• 17 615 heures pour
• 12 287 heures pour
• 3 726 heures pour
• 410 heures pour
• 103 heures pour

À ces catalogues s’ajoutent des podcasts collectés via leurs flux . Un véritable siphonnage industriel, en s’appuyant sur des sources variées : plateformes grand public (YouTube Music, Deezer), bibliothèques de musique libre ou de stock (Jamendo, Freesound, Pond5) en passant par Genius, spécialisé dans les paroles.

Malgré tout, Suno aurait procédé à un scrapping ciblé et méthodique en recherchant en priorité des versions a cappella des musiques. En effet, cela permettrait d’isoler et d’analyser plus facilement les voix, ce qui serait plus intéressant pour entraîner une IA. Pour effectuer le scrapping, Suno aurait utilisé la solution Bright Data, spécialisée dans la collecte automatisée de données.

Pond5 est aussi particulièrement intéressant pour Suno : c’est une banque de musiques et d’effets sonores détenue par Shutterstock. La plateforme revendique 2,6 millions de morceaux, et le téléchargement nécessite un abonnement payant à la plateforme. Suno a donc aspiré plus de 60 000 heures d’audio sur cette plateforme en contournant ces restrictions. En réalité, il y a peu de chances que Suno se soit limité à un entraînement sur des contenus librement accessibles.

Une intrusion signée Shai-Hulud, via le poste d’un salarié

Pour accéder aux systèmes de Suno, le pirate est parvenu à compromettre le poste de travail d’un salarié, ce qui lui a permis ensuite de détourner les accès. D’après le pirate, qui se présente avec le pseudo ellie.191, cet incident serait lié à la campagne Shai-Hulud. Pour rappel, ce ver se dissimule dans des paquets infectés, se propage de projet en projet et aspire au passage les secrets des développeurs : jetons GitHub, clés d’API, accès aux environnements cloud. Cette menace empoisonne l’écosystème open source depuis l’automne 2025, avec de nombreuses attaques sur la chaîne d’approvisionnement, un sujet que j’ai déjà évoqué suite à la vague de compromissions de paquets npm.

Grâce à ces accès, le pirate serait parvenu à accéder à deux catégories de données : d’un côté les moyens de contact (adresse e-mail ou numéro de téléphone, selon ce que l’utilisateur avait fourni pour s’inscrire), de l’autre des éléments de facturation adossés à Stripe. 404media dit avoir recoupé une partie de l’échantillon fourni avec de véritables abonnés.

De son côté, Suno se montre moins alarmant. Cette intrusion serait liée à un incident de sécurité de novembre 2025, qu’elle qualifie de limité et rapidement circonscrit. À l’en croire, la fuite aurait avant tout porté sur du code source dépassé, aujourd’hui hors service. Suno rappelle aussi ne jamais détenir les numéros de carte bancaire complets, confiés à Stripe. Ce qui pose problème, c’est aussi son manque de communication auprès des utilisateurs dont les données ont été exposées par cette intrusion. La start-up justifie l’absence d’avertissement adressé aux utilisateurs par le périmètre réduit des informations exposées… Pas top.

Là où Suno pourrait avoir raison, c’est sur le timing : novembre 2025. Ceci coïncide avec la résurgence de Shai-Hulud sur cette même période, mais cela reste à confirmer. Ce qui est certain, c’est que Suno a un véritable appétit pour les données musicales, coûte que coûte. Cette affaire devrait raviver certaines tensions entre cette start-up et l’industrie musicale.

Source