Le code dérobé couvre la période 2023-2024 et expose les mécanismes d'une collecte massive de données audio en ligne, révélant au passage l'architecture d'un outil désormais intégré à de nombreux workflows de production assistée.
Architecture de la collecte
L'attaque, de type supply chain, aurait exploité les identifiants d'un employé pour accéder au code source de la start-up. Les instructions de scraping extraites documentent un balayage automatisé de plusieurs plateformes: YouTube Music, Deezer, Genius, Freesound, ainsi que des flux RSS de podcasts. Les serveurs compromis abritaient aussi des documents internes quantifiant le volume horaire global aspiré, sans que les chiffres exacts ne figurent dans les sources relayées.
Les bases dérobées incluent des adresses e-mail, des numéros de téléphone et des coordonnées de paiement partielles stockées chez Stripe. Suno affirme que les numéros de carte complets ne s'y trouvaient pas. La direction a choisi de ne pas notifier individuellement les utilisateurs touchés, qualifiant l'incident de limité et rapidement contenu. Un porte-parole précise que le code vulnérable était obsolète au moment de l'intrusion.
Doctrine « Original Creation, By Design »
La stratégie d'entraînement repose sur la doctrine de l'usage loyal. Les ingénieurs excluent volontairement les noms d'artistes des métadonnées et bloquent les requêtes ciblant un interprète ou un album précis. Le système refuse aussi le téléversement de paroles ou d'enregistrements existants. L'objectif affiché: stimuler la génération de titres inédits.
Les filtres semblent pourtant perméables. Une simple requête mentionnant Bill Haley a, selon les pièces versées par les plaignants, produit une sortie reproduisant le style et la mélodie de l'artiste. Universal, Sony et Warner poursuivent Suno pour violation du DMCA, arguant notamment que le contournement des protections de YouTube enfreint les conditions d'utilisation de la plateforme. Suno admet absorber la quasi-totalité des fichiers audio de qualité raisonnable accessibles en ligne, et anticipe soit une victoire totale sur le terrain du fair use, soit le paiement d'éventuelles amendes.
Conséquences pour les utilisateurs
Pour les producteurs recourant à Suno, la fuite pose deux problèmes distincts. Le premier relève de la sécurité des données: malgré la qualification de « non sensible » retenue par la direction, les éléments compromis restent exploitables pour des campagnes de phishing ciblé. Le second engage la viabilité du modèle économique de l'outil, construit sur une hypothèse juridique que la start-up refuse d'attendre.
Udio, concurrent direct, fait face à des accusations similaires d'extraction depuis YouTube. Google, maison-mère de la plateforme, est par ailleurs poursuivi par plusieurs éditeurs de livres pour des pratiques analogues. La bataille en cours dépasse désormais le seul cas Suno et engage la légalité même de l'entraînement des modèles génératifs audio sur des œuvres protégées — un cadre dont dépend l'ensemble des outils du même type utilisés en M.A.O.