El hack a Suno destapa el lado oscuro de la IA musical: scraping masivo y datos de usuarios expuestos

La inteligencia artificial generativa de música siempre ha sido un terreno pantanoso, pero el reciente hack a Suno ha removido el lodo hasta dejar al descubierto prácticas que muchos sospechaban pero pocos podían probar. Un atacante que se identifica como ellie.191 logró acceder a los sistemas de la empresa mediante un ataque a la cadena de suministro, obteniendo credenciales de un empleado y extrayendo código fuente que revela cómo Suno construyó su modelo de IA: raspando a gran escala plataformas como YouTube Music, Deezer, Genius, y decenas de bibliotecas de música de stock y podcasts.

El material filtrado, reportado por 404 Media, muestra archivos de código de 2023 y 2024 con instrucciones precisas de scraping. Un archivo llamado “youtube_music” indica que Suno ingirió 2,013,545 clips musicales solo de YouTube. Otros archivos detallan conjuntos de datos que suman cientos de miles de horas de audio: 113,879 horas de YouTube Music, 62,117 horas de Pond5, 19,514 horas de Deezer, y más de 152,000 horas de contenido etiquetado de YouTube. En total, el botín asciende a décadas de música, incluyendo búsquedas específicas de versiones a capela para aislar voces.

Suno ya había admitido en procesos legales que entrenaba sus modelos con “esencialmente todos los archivos de música de calidad razonable accesibles en internet abierto”, argumentando que esto cae bajo el fair use. Pero lo que el hack revela es que la empresa habría ido más allá: según el código filtrado, Suno usó proxies de la empresa Bright Data para eludir las protecciones de YouTube, lo que la Asociación de la Industria Discográfica de Estados Unidos (RIAA) ya había denunciado como una violación de la Ley de Derechos de Autor del Milenio Digital (DMCA). La pregunta es si el argumento de fair use se sostiene cuando se vulneran activamente barreras tecnológicas diseñadas para impedir la copia.

El caso no es aislado. Competidores como Udio enfrentan acusaciones similares, y Google mismo está siendo demandado por editoriales por presunto scraping de datos para entrenar sus modelos de IA. Lo que distingue a Suno es la magnitud de la filtración y lo que dice sobre la cultura de las startups de IA: el afán por escalar rápido y la disposición a operar en zonas grises legales, confiando en que el dinero de los litigios llegará después, si es que llega.

Pero el hack no solo expuso datos de entrenamiento. También comprometió información de clientes: correos electrónicos, números de teléfono y, según el atacante, datos parciales de tarjetas de crédito almacenados en Stripe. Suno reconoció el incidente, ocurrido en noviembre de 2025, pero sostiene que fue un “incidente de seguridad limitado” y que no notificó a los clientes porque, según su evaluación, no era necesario bajo las leyes de privacidad aplicables. Algunos usuarios afectados confirmaron a 404 Media que nunca fueron informados.

Para los ejecutivos latinoamericanos, el caso Suno es una advertencia en dos frentes. Primero, la dependencia de herramientas de IA entrenadas con datos obtenidos de forma cuestionable puede exponer a las empresas a riesgos legales si adoptan estas tecnologías sin conocer el origen de los modelos. Segundo, la crisis de ciberseguridad de Suno —un ataque a la cadena de suministro que explotó credenciales de un solo empleado— es un recordatorio de que la seguridad no es solo un problema de los departamentos de TI, sino un riesgo de negocio que puede escalar a filtraciones masivas de datos de clientes.

En América Latina, donde la adopción de IA generativa crece sin marcos regulatorios claros, el caso Suno debería encender alarmas. No se trata solo de si la música generada por IA es ética o no; se trata de quién controla los datos, cómo se obtienen y qué pasa cuando esa cadena se rompe. Mientras Suno intenta levantar otros 400 millones de dólares en medio de demandas, la pregunta que queda en el aire es si los inversores y los clientes realmente saben lo que están comprando.