Secondo quanto riportato recentemente da 404 Media, la nota piattaforma di generazione musicale tramite intelligenza artificiale Suno è stata vittima di un attacco informatico che ha esposto non solo i dati sensibili degli utenti, ma anche i dettagli tecnici relativi alle metodologie di addestramento dei propri algoritmi, confermando il massiccio prelievo di contenuti da fonti protette come YouTube Music.
L’intrusione, avvenuta lo scorso novembre, sarebbe stata portata a termine attraverso un attacco alla “supply chain”. Secondo le dichiarazioni fornite dall’hacker alla testata giornalistica, l’accesso alle credenziali di un dipendente ha permesso di mettere le mani sul codice sorgente della compagnia. Questi documenti rivelerebbero come Suno abbia effettuato lo scraping di decenni di materiale audio proveniente da piattaforme come YouTube Music, Deezer, Genius, librerie di musica stock e persino feed RSS di vari podcast, alimentando così il dibattito sulla legittimità delle fonti utilizzate per l’IA.
Nonostante Suno avesse già ammesso in precedenza di utilizzare file musicali disponibili pubblicamente sul web, l’azienda si è sempre difesa appellandosi alla dottrina del “fair use”. Tuttavia, le principali etichette discografiche, che hanno già avviato azioni legali contro la società, sostengono che aggirare deliberatamente le protezioni di YouTube contro il data scraping sia illegale ai sensi del Digital Millennium Copyright Act (DMCA). Suno non è l’unica realtà sotto i riflettori: anche il concorrente Udio è stato accusato di pratiche simili, mentre la stessa Google deve rispondere di presunte violazioni del copyright mosse da diversi editori di libri.
Oltre alle implicazioni legali sul diritto d’autore, l’attacco ha sollevato gravi preoccupazioni per la privacy. L’hacker avrebbe avuto accesso a informazioni personali dei clienti, inclusi indirizzi e-mail, numeri di telefono e cifre parziali delle carte di credito registrate su Stripe. Nonostante la gravità della falla, Suno non ha provveduto a una notifica tempestiva verso i propri utenti, liquidando l’accaduto come un “incidente di sicurezza limitato e rapidamente contenuto”.
